Permisos mínimos de un agente

Un agente actúa con las credenciales que se le entregan, no con las que «merece». Por eso el permiso mínimo se decide herramienta por herramienta: cada una recibe solo lo que su trabajo exige —las pólizas del cliente de la conversación, no todas las pólizas— y se autentica con una cuenta distinta según el efecto que tenga. Una cuenta de solo lectura para consultar, otra con escritura acotada para modificar, y ninguna cuenta única que sirva para todo.

El criterio se ve en cuatro preguntas sobre cada herramienta: qué alcance tiene, qué efecto produce (lectura, borrador, salida de información, escritura o dinero), qué tope lleva por llamada y si una persona confirma antes de que actúe. El diseño no confía en que el modelo «se porte bien»: acota lo que puede pasar aunque el modelo se equivoque o lo engañen.

Las cuentas de servicio se leen por lo que pueden hacer, no por su nombre. La tabla credenciales dice qué permisos tiene cada una y cuántas herramientas la usan. Una cuenta con administración completa asignada a una herramienta que solo debería leer o enviar un informe es el hallazgo típico: si esa herramienta se desvía, la desviación hereda toda la administración.

Cruza la tabla de herramientas con la de credenciales y busca qué herramienta de Huemul se autentica con la cuenta de administración completa de la base de siniestros.

Lo que pide confirmación humana no es todo, sino lo que tiene efecto difícil de deshacer: sacar información de la empresa, escribir en un registro o mover dinero. Una herramienta de lectura no necesita a nadie; una de dinero casi siempre sí. El inventario marca el efecto de cada herramienta en la columna tipo y la confirmación en confirmacion_humana.

Cuenta cuántas herramientas tienen un efecto de salida, escritura o dinero y no piden confirmación humana en absoluto. Una herramienta que pide confirmación solo a partir de cierto importe sí tiene un control, aunque sea parcial, y no entra en la cuenta.

Una cuenta de servicio compartida rompe la rendición de cuentas: cuando algo sale mal, el registro dice «la cuenta» y no «quién». Si además la usa a mano una persona o un equipo, el agente hereda cada cambio que ese equipo haga en sus permisos, y a la inversa. La columna se_comparte_con de credenciales dice quién más usa cada cuenta.

Con el inventario a la vista, la corrección no es quitarle herramientas a Huemul sino separar y acotar. Una cuenta para lectura; otra por efecto, con alcance limitado; la identidad del analista que pide la acción viaja con la llamada para que el sistema de destino decida con sus permisos y no con los del agente; y la herramienta que saca todas las pólizas pasa a un alcance acotado o a una aprobación.

La alternativa tentadora es dejar todo igual y añadir al prompt la orden de tener cuidado. Pero el prompt no es un control: lo que el agente puede hacer lo fijan la credencial y la política fuera del modelo.