Agentes automáticos: permisos acotados y supervisión

La lista de riesgos de OWASP para aplicaciones con modelos de lenguaje (edición de 2025) dedica una entrada, LLM06, a la agencia excesiva: el sistema hace algo dañino porque la salida del modelo fue inesperada, ambigua o manipulada por un texto que leyó. OWASP la explica con tres causas que un arquitecto puede revisar en un diseño: funcionalidad excesiva (el agente tiene herramientas que su tarea no necesita), permisos excesivos (las herramientas tienen más acceso del necesario en los sistemas de destino) y autonomía excesiva (las acciones de alto impacto se ejecutan sin una comprobación independiente).

Ninguna de las tres se corrige pidiéndole al modelo que se porte bien. Se corrigen en la arquitectura: menos herramientas y más concretas, permisos mínimos en los sistemas de destino, y controles que viven fuera del agente.

El diseño de un agente debería listar sus tareas, y cada herramienta conectada debería corresponder a una de ellas. Una herramienta genérica (ejecutar consultas, abrir una consola, llamar a cualquier URL) da al agente capacidades que el diseño no previó, y suele venir con una identidad poderosa porque «tiene que poder hacer de todo».

Abre el laboratorio y compara las tareas de agente-ficha.txt con herramientas.txt.

El diseño exige aprobación de una supervisora por encima de cierto monto. Pero herramientas.txt dice dónde vive hoy ese control: en la instrucción del agente, que decide si pide aprobación. Un control que depende del juicio del modelo puede caer ante un texto que el modelo lee, como el escrito de una disputa que redacta un tercero.

Lee registro-de-acciones.txt contra el umbral de la ficha.

Cuando un agente actúa con su propia identidad, cada persona que lo usa recibe en la práctica los permisos del agente, no los suyos. Es el problema clásico del ayudante confundido: alguien con poco permiso consigue un resultado que no podría lograr por sí mismo pidiéndoselo a un intermediario que sí puede. El intercambio de tokens de OAuth 2.0 (RFC 8693, de 2020) distingue suplantación de delegación: en la delegación, el token lleva al sujeto (la persona) y al actor (el agente), y cada sistema puede aplicar los permisos de la persona.

Lee analistas.txt junto al registro de acciones.

Los dos hallazgos anteriores tienen la misma raíz: las decisiones de permiso y de aprobación se toman dentro del agente. Supervisar un agente no es leer sus conversaciones después; es que los sistemas que ejecutan las acciones apliquen los permisos de la persona y exijan la aprobación por su cuenta, y que cada acción quede registrada con quién la pidió y quién la ejecutó.