Introducción
Los chatbots tradicionales responden. Los agentes de IA pueden actuar: leen documentos, crean tareas, envían mensajes, actualizan CRM, llaman APIs y ejecutan etapas completas de un flujo.
Eso cambia el riesgo. Una respuesta incorrecta puede corregirse antes del uso. Una acción incorrecta puede modificar datos o activar otros procesos antes de ser detectada.
Tratar la autonomía como permiso
La pregunta principal no es solo qué tan inteligente es el agente, sino qué está autorizado a hacer. Cada herramienta conectada representa una capacidad operativa que debe inventariarse y gobernarse.
Identidad propia y menor privilegio
Los agentes deben utilizar identidades de servicio dedicadas. Los permisos deben limitarse al proceso específico. Un agente de agenda no necesita derechos financieros.
Separar lectura y escritura
Consultar información y modificar estado tienen riesgos diferentes. Puede existir mayor libertad para lectura y confirmación adicional para enviar, borrar, pagar, publicar o aprobar.
Validar fuera del modelo
Los límites críticos no deben depender solo de instrucciones en lenguaje natural. Valores, destinatarios, cantidad de registros y tipos de acción deben validarse por código, reglas de negocio y permisos.
Aprobación humana en puntos sensibles
La revisión humana debe aparecer antes del impacto material. Preparar un borrador puede ser automático, mientras enviar al exterior o ejecutar un pago puede exigir confirmación.
Prompt injection puede convertirse en acción
Agentes que leen correos, páginas o PDFs pueden recibir instrucciones maliciosas ocultas. El contenido externo debe tratarse como no confiable y las herramientas sensibles deben tener controles independientes.
Proteger secretos
Claves de API y contraseñas deben permanecer en la capa de ejecución y no circular por prompts. El agente solicita la operación y la infraestructura protegida utiliza la credencial.
Sandbox, límites y monitoreo
Antes de producción, los agentes deben probarse con datos simulados, entradas ambiguas y contenido malicioso. Límites de frecuencia, montos y alertas reducen la posibilidad de que un error escale.
Logs y mecanismo de parada
Los registros deben relacionar usuario, agente, herramienta, parámetros importantes, resultado y aprobación. También debe existir una forma rápida de suspender el agente o revocar credenciales.
Conclusión
Los agentes de IA son poderosos porque combinan lenguaje y acción. Su seguridad exige límites explícitos: identidad separada, menor privilegio, validación técnica, aprobación proporcional, protección de secretos, pruebas, logs y capacidad de parada.