Contexto
El nombre de una herramienta no es una política de seguridad. Enviar correo, actualizar un registro o borrar un archivo requieren controles distintos aunque el agente los invoque con la misma sintaxis.
La aprobación pierde valor si aparece al inicio de una sesión y cubre acciones todavía desconocidas. Quien confirma debe ver destino, alcance y efecto esperado.
Ejemplo didáctico · situación inventada
Aprobar un borrador no autoriza otro destinatario
La persona revisora acepta enviar un resumen a una dirección concreta. Antes del envío, una nueva llamada del agente cambia esa dirección y añade un archivo.
Qué decisión cambia. La aprobación debe quedar ligada al destinatario, contenido y adjuntos revisados. Si cambia cualquiera de esos elementos, se invalida; el servicio de envío comprueba esa vinculación fuera del modelo.
Qué comprobar antes de empezar
- Identidad en cuyo nombre se ejecuta la acción.
- Recursos, campos y operaciones incluidos en el permiso.
- Reversibilidad, coste y personas afectadas.
- Datos que aparecerán en la vista previa y en la traza.
- Caducidad, revocación y rotación de credenciales.
Método de trabajo
Clasificar herramientas
Separamos lectura, escritura reversible, comunicación externa y acciones irreversibles.
Reducir alcance
Usamos credenciales y scopes distintos por herramienta, entorno y usuario cuando sea posible.
Diseñar la aprobación
La interfaz muestra qué cambiará, dónde, con qué datos y quién lo solicita.
Ensayar abusos
Probamos parámetros manipulados, repeticiones, cambios de destino y fallos a mitad de operación.
Señales para detener la prueba
- Una credencial permite más acciones que las declaradas por la herramienta.
- La persona aprueba sin poder identificar el destinatario o el efecto.
- Los reintentos pueden duplicar una compra, mensaje o modificación.
- La traza guarda secretos o contenido sensible que no necesita para auditar.
Fuentes
Para seguir con esta decisión
- ¿Cuándo no conviene utilizar un agente de IA?
- ¿Cuándo utilizar MCP y cuándo integrar una API directamente?
- ¿Cómo limitar un ataque de prompt injection en un agente con herramientas?
Servicio de Agent Engineering: alcance y entregables
Publicado por Ordantis el .