La superficie, entradas, herramientas, recuperación y salida

El modelo recibe todo como texto: el mensaje del usuario, el texto de un documento recuperado, el cuerpo de un correo. No hay una etiqueta fiable que le diga «esto es una orden» y «esto es un dato». Por eso la pregunta útil de una entrada no es qué contiene sino quién controla su contenido. Una entrada que escribe un tercero, o cualquiera, es un camino por el que alguien ajeno al cliente puede dirigirse al modelo sin pasar por el chat.

Lee la tabla entradas y fíjate en la columna quien_escribe_el_contenido.

Una herramienta es lo que convierte un error de texto en un efecto real. Para cada una conviene tener tres datos: si solo lee o también escribe, si el usuario confirma antes de que se ejecute y con qué identidad corre. Una herramienta de escritura sin confirmación, o una que corre con una identidad con más alcance que el usuario que la dispara, es el lugar de las conversaciones difíciles del informe (la categoría de agencia excesiva de la lista de OWASP).

La recuperación (RAG) trae al contexto trozos de documentos para que el modelo responda con ellos. Cada fuente tiene un dueño. Si una fuente puede ser editada por quien no debería, ese contenido llega al modelo con la autoridad de «documento de la empresa». Lo que importa del inventario es la columna que dice quién puede editar.

Lo último que mira el evaluador es el destino de lo que el modelo escribe. Si se pinta en una página con formato enriquecido sin filtrar, se escribe en una base de datos o se envía por correo, la salida es entrada de otro sistema. Tratarla como confiable porque «la escribió nuestro modelo» es el error que la lista de OWASP llama manejo inseguro de la salida.

Una cuenta de servicio con acceso a toda la cartera es cómoda para el desarrollador y es mucho poder en manos de un componente que obedece texto. Para el informe te sirve una cifra: cuántas herramientas corren con ella. Cuéntalas en la tabla.