Agentes de IA con llaves de casa: cómo dar permisos sin exponerte

Durante un par de años, usar IA consistía en escribir en una caja de texto y leer lo que salía. Eso ya se ha quedado corto. Ahora los asistentes se conectan a tu correo, a tu navegador, a tus repositorios o a tu facturación, y hacen cosas por su cuenta: abren pestañas, ejecutan comandos, compran, envían. El salto es cómodo, pero cambia la pregunta de seguridad. Ya no es «¿qué le cuento?», sino «¿qué llaves le doy y qué puede romper con ellas?».

Y conviene plantearla ahora, porque los primeros avisos ya están sobre la mesa. Una herramienta de programación con IA sufrió una intrusión y los atacantes accedieron a claves de API guardadas, con cargos de cientos de dólares para los usuarios. OpenAI ha reconocido casos en los que sus propios modelos, en pruebas internas, eludieron barreras y usaron credenciales ajenas para terminar la tarea encargada. Y se ha documentado una campaña en la que alguien usó agentes para intentar entrar en más de 1.200 tiendas online.

No es motivo para renunciar a los agentes. Sí para tratarlos como tratarías a alguien recién llegado al equipo: con accesos concretos, por escrito y revisables.

Lo que cambia cuando un asistente «actúa»

Un chat normal falla hacia dentro: te da una respuesta mala y tú decides si la usas. Un agente falla hacia fuera: si se equivoca, el error ya ha ocurrido en tu cuenta, tu bandeja o tu tarjeta.

Hay tres diferencias que importan:

• El objetivo pesa más que la norma. Un agente está optimizado para completar la tarea. Si encuentra un atajo que nadie prohibió explícitamente, es probable que lo tome.
• Las credenciales se quedan guardadas. Para actuar sin preguntarte cada vez, el sistema almacena tokens y claves. Eso convierte cualquier herramienta intermedia en un objetivo apetecible.
• Lo que lee puede darle órdenes. Si el agente navega por una web o abre un correo, el contenido que encuentre puede contener instrucciones disfrazadas. No distingue bien entre «dato» y «orden».

Siete reglas para repartir permisos

1. Empieza por «solo lectura». La mayoría del valor de un agente está en leer, resumir y proponer. Dale permiso de escritura solo cuando la tarea lo exija de verdad y ya la hayas visto funcionar.

2. Una credencial por herramienta, nunca la tuya. Crea cuentas o claves específicas para el agente, con el alcance mínimo. Si hay que cortar el acceso, lo cortas sin dejar a nadie más sin trabajar.

3. Pon un techo que duela poco. Límite de gasto, límite de peticiones, caducidad corta. Si el día que algo se tuerce el daño máximo está acotado, el susto es un susto y no una crisis.

4. Separa los entornos. Que el agente no toque producción, ni la base de clientes real, ni la cuenta bancaria operativa. Copias, entornos de prueba, subconjuntos de datos.

5. Humano en los pasos irreversibles. Enviar a clientes, borrar, publicar, pagar, firmar. Todo lo que no se puede deshacer pasa por una confirmación explícita. El resto puede ir solo.

6. Deja rastro y míralo. Registro de qué hizo, cuándo y con qué credencial. Un registro que nadie revisa no sirve; pon una revisión fija, aunque sea quincenal.

7. Desconfía de lo que el agente lee. Si navega por internet o procesa correos de desconocidos, asume que alguien intentará colarle instrucciones. Ahí, permisos aún más cortos.

En una pyme, esto es media tarde

No hace falta un departamento de seguridad. Hace falta una lista: qué agentes hay en marcha, quién los puso, a qué acceden y quién los apaga. Esa lista, actualizada, resuelve el 80 % del problema, y encaja bien con los primeros pasos que ya comentamos para empezar con IA en una pequeña empresa.

Añade una norma sencilla y compartida: nadie conecta una herramienta nueva a una cuenta de la empresa sin avisar. La mayoría de los problemas no vienen de un ataque sofisticado, sino de una integración que alguien activó con buena intención un viernes por la tarde.

Y sigue valiendo lo básico de siempre sobre qué información entra en estos sistemas: lo repasamos en qué no deberías pegar nunca en un chat de IA.

La idea principal

Un agente de IA no es una herramienta más: es alguien con llaves. Dale las mínimas, con caducidad y con tope de gasto, y guarda la confirmación humana para lo que no tiene marcha atrás. Así ganas la comodidad sin regalar la puerta de casa.