Respuesta corta: no conectes un agente de IA usando la cuenta principal del dueño ni le entregues acceso total “para que funcione”. Dale una identidad separada, sólo los datos y acciones que necesita, aprobación antes de enviar o borrar, destinos de red limitados, credenciales temporales, registros y un botón para detenerlo. Un agente puede hacer más que un chat: puede leer una instrucción, buscar información y actuar en otra herramienta. Esa capacidad ahorra tiempo, pero también amplía un error. La solución no es prohibirlo. Es construir una cerca antes de abrir la puerta.
Por qué un agente necesita controles distintos
Un chatbot normal responde. Un agente puede consultar correo, recorrer carpetas, actualizar un CRM o usar herramientas durante varios pasos. NIST explica que esa autonomía plantea preguntas nuevas: cómo identificar al agente, cómo autenticarlo, qué autoridad tiene, quién autorizó cada acción y cómo registrar lo ocurrido. NIST también pregunta cómo aplicar el principio de mínimo privilegio cuando las acciones futuras no son totalmente predecibles. Es un documento conceptual en borrador, no una certificación de productos. Su idea útil para una pyme es sencilla: cada agente necesita dueño, identidad y límites verificables.
Los siete permisos que debes limitar
| Control | Inicio prudente | Detener o pedir aprobación |
|---|---|---|
| 1. Identidad | Cuenta propia del agente | Nunca usar la cuenta principal del dueño |
| 2. Lectura | Carpetas y campos mínimos | Datos personales, banca y secretos fuera |
| 3. Escritura | Crear borradores | Aprobar cambios en sistemas reales |
| 4. Acciones externas | Preparar correo o propuesta | Aprobar envío, publicación, pago o borrado |
| 5. Red y herramientas | Lista de destinos permitidos | Bloquear dominios y conectores desconocidos |
| 6. Credenciales | Token corto y revocable | Nunca pegar claves maestras en instrucciones |
| 7. Operación | Registro, límite y horario | Alerta, pausa y apagado inmediato |
1. Usa una identidad separada y reconocible
Crea una cuenta o identidad de servicio exclusiva para el agente cuando la plataforma lo permita. Ponle un nombre claro, un dueño humano y una fecha de revisión. No uses la sesión del director porque contiene más permisos de los necesarios y vuelve difícil saber quién hizo qué. La identidad separada permite revocar al agente sin bloquear a una persona. También ayuda a relacionar cada cambio con un proceso. Si la herramienta sólo funciona mediante la cuenta de un usuario, crea un usuario limitado y documenta esa excepción. No inventes una función de cuentas de servicio si tu proveedor no la ofrece.
2 y 3. Separa leer de escribir
Empieza con lectura en una carpeta de prueba, un buzón compartido limitado o sólo ciertos campos del CRM. El agente no necesita ver toda la empresa para clasificar veinte solicitudes. Después permite crear borradores. Leer un cliente y preparar una nota es distinto de cambiar su saldo, borrar un registro o mover una oportunidad. Cada permiso adicional debe responder a una tarea medida. Revisa también permisos heredados. Una carpeta llamada “ventas” puede contener contratos, identificaciones o datos bancarios que el equipo olvidó separar.
4. Exige aprobación para acciones externas o difíciles de revertir
Conserva revisión humana antes de enviar un correo al cliente, publicar contenido, prometer una fecha, aplicar un descuento, emitir una devolución, borrar información o cambiar accesos. El agente puede preparar la acción y mostrar destinatario, importe, archivo y motivo. La persona aprueba viendo esos datos, no con un botón ciego. Las guías del NCSC recomiendan controles de acceso apropiados y, al usar una API externa, confirmar antes de enviar información que podría ser sensible. Esa práctica no garantiza seguridad absoluta, pero reduce el alcance de un error.
5 y 6. Limita red, herramientas y credenciales
Permite sólo los dominios, conectores y funciones necesarias. Si el agente trabaja con el CRM y una carpeta, no necesita navegar por cualquier sitio. Un contenido externo puede incluir instrucciones escondidas para intentar desviar al agente. NIST identifica la inyección de instrucciones como un reto de seguridad para agentes de IA. Una lista permitida no vuelve confiable todo lo que existe dentro de un dominio, pero reduce caminos innecesarios.
Las credenciales deben ser revocables, de corto alcance y guardadas en el sistema seguro que ofrezca la plataforma. No las pegues en el prompt, una hoja o un documento compartido. No des acceso directo a banca, nómina o llaves maestras durante un piloto. Si una conexión requiere una clave que concede todo, pide al proveedor una opción con permisos más pequeños. Cuando el agente deje de usarse, revoca tokens y sesiones; desactivar una pantalla no siempre cancela la credencial.
7. Registra, limita y prepara el apagado
Guarda qué pidió la persona, qué herramienta usó el agente, qué acción intentó, qué resultado obtuvo y quién aprobó. Evita almacenar secretos completos en los registros. Define límites de volumen, horario y costo. Una tarea que normalmente procesa 30 registros debe detenerse si intenta tocar 3,000. Añade alertas por destinatarios nuevos, borrados masivos, errores repetidos o acceso fuera de horario. El interruptor de apagado debe revocar el acceso y detener tareas programadas. Pruébalo antes de necesitarlo. OWASP incluye entre los riesgos de aplicaciones con agentes el abuso de herramientas, privilegios e identidades; un registro sin capacidad de detener sólo cuenta el problema después.
