Agentes de IA con acceso: cómo limitar lo que pueden hacer

El riesgo es la autonomía excesiva

OWASP lo llama autonomía excesiva (excessive agency) (en inglés), LLM06 en su lista de 2025: un agente con demasiadas funciones, demasiados permisos o demasiada autonomía puede causar un daño real cuando una instrucción, un archivo o su propio error lo desvía. El mismo modelo puede ser de bajo riesgo en una configuración y de alto riesgo en otra. Lo que decide el peligro es con qué está conectado y qué se le permite hacer.

Trate a un agente como a un practicante rápido e incansable: útil, pero no se le entregan las llaves de todos los departamentos el primer día.

Escríbale al agente una descripción de puesto

"Ayuda con el correo" lleva a un acceso amplio. "Lee los correos de soporte que llegan, busca al cliente en el CRM, redacta una respuesta y se la envía a una persona para que la apruebe" muestra exactamente lo que necesita: leer el correo, una consulta limitada en el CRM y crear borradores. No necesita enviar, dar créditos ni borrar.

Propósito: el único problema del negocio que resuelve.
Sistemas y datos: qué bandeja de entrada, carpeta, objetos del CRM o repositorio.
Acciones: ¿leer, crear, editar, enviar, pagar, borrar o publicar?
Aprobaciones, límites y el plan para detenerlo.

Mínimo privilegio y claves propias

Dé a cada agente solo lo que su trabajo necesita. Acceso de solo lectura al calendario para revisar la disponibilidad. Una carpeta de proyecto, no toda la unidad. El estado de las facturas, no el poder de liberar pagos. Lectura del repositorio o comentarios en las solicitudes de cambios, no permisos para fusionar. Evite los roles de administrador y de propietario.

Dé a cada agente su propia cuenta o clave de API, nunca el inicio de sesión de un empleado ni una integración compartida de la empresa. Las identidades separadas dejan claro qué agente hizo qué, y puede revocar una sin afectar a las demás. Póngales nombres claros, como "ia-redactor-soporte".

Aprobación humana para las acciones irreversibles

El patrón seguro es redactar y luego aprobar. El agente prepara el correo, el reembolso, el borrado o el cambio de código; una persona lo confirma. Enviar correos externos, pagar, reembolsar, borrar, cambiar permisos y publicar código esperan a un aprobador con nombre. Una buena pantalla de aprobación muestra la acción, el sistema, el registro o el cliente involucrado y en qué se basó el agente, y permite al aprobador editar antes de confirmar.

Límites, registros y credenciales

Topes de gasto por transacción y por día, y topes de presupuesto en las herramientas de pago.
Límites de frecuencia para correos, cambios de registros, operaciones con archivos y llamadas a la API, para que una sola instrucción mala no llegue a cientos de clientes.
Registros de quién activó al agente, a qué accedió, qué hizo, las aprobaciones y las negativas, sin registrar contraseñas ni números de tarjeta completos.
Credenciales en un gestor de secretos, nunca en instrucciones, hojas de cálculo ni código; cámbielas periódicamente y borre las claves de prueba viejas.

Empiece con límites bajos y súbalos solo cuando el agente haya demostrado que es confiable.

Pruébelo en un entorno aislado con entradas hostiles

Pruebe el agente con bandejas de entrada de prueba, calendarios ficticios, facturas falsas y repositorios de prueba antes de que toque algo real. Dele correos desordenados, solicitudes vagas y documentos con instrucciones para que ignore sus reglas. Así se encuentra la inyección de prompts y otras formas de falla antes de que las encuentren los clientes.

Revise los conectores y tenga un botón de apagado

Un complemento que se vende como "ayudante de archivos" también puede compartir y borrar. Revise a qué puede llegar y qué puede hacer cada conector, si permite modos de solo lectura, y quite los que probó y dejó de usar.

Un botón de apagado pausa al agente, revoca su clave o bloquea sus acciones hacia fuera en un solo paso. Decida quién puede usarlo, pruébelo antes del lanzamiento y asegúrese de que nadie tenga que buscar entre las opciones del proveedor durante un incidente.

Un plan de implementación

Elija un trabajo de bajo riesgo, como redactar respuestas de soporte.
Defina el acceso exacto que necesita y conceda solo eso.
Cree sus propias credenciales.
Exija aprobación para enviar, pagar, borrar, exportar y publicar.
Fije límites de gasto y de frecuencia.
Pruébelo en un entorno aislado con entradas hostiles.
Active los registros y prepare el botón de apagado.
Amplíelo poco a poco.

Dónde encaja ASL

Cada producto de la plataforma ASL se cierra por seguridad: cuando la autorización falta, venció o es dudosa, el producto se niega. Los registros de auditoría están encadenados con hash para que los registros prueben su propia integridad. Nuestro equipo de desarrollo de software a medida crea los agentes de IA de la misma forma, con permisos acotados, aprobaciones y registros desde la primera versión. Contáctenos para conversarlo.

Preguntas frecuentes

¿Qué es la autonomía excesiva en la IA?

Es el término de OWASP para un sistema de IA con demasiadas funciones, permisos o autonomía, de modo que un error o una manipulación puede causar un daño real a través de las herramientas a las que llega.

¿Un agente de IA debe usar el inicio de sesión de un empleado?

No. Dé a cada agente su propia cuenta o clave de API con permisos acotados, para poder seguir sus acciones y revocarlo sin afectar a nadie más.

¿Qué acciones de un agente necesitan aprobación humana?

Todo lo difícil de deshacer: enviar correos externos, pagos y reembolsos, borrados, cambios de permisos, documentos legales y publicaciones de código.

¿Qué es el botón de apagado de un agente de IA?

Una forma rápida de pausar al agente, revocar sus credenciales o bloquear sus acciones hacia fuera cuando algo se ve mal. Pruébelo antes del lanzamiento.

¿Cómo debemos probar un agente de IA antes de ponerlo en marcha?

En un entorno aislado con datos de prueba, incluidas entradas desordenadas y hostiles, como documentos que le dicen que ignore sus reglas.

Guías relacionadas

Conozca el producto completo

Consulte funciones, acceso actual y límites