Instalar un agente de IA sin abrir un hoyo de seguridad

Hace unos meses revisé el agente de WhatsApp de una inmobiliaria de cinco personas en Atizapán. Lo instaló un freelancer, funcionaba bien y la dueña estaba contenta. En veinte minutos encontré tres cosas: la llave de acceso al modelo estaba escrita dentro de las instrucciones del agente, el agente entraba a su CRM con el usuario del administrador, y no existía registro de qué había hecho el agente en los últimos tres meses. Nadie había sido atacado. Todavía.

Eso pasa cuando un agente se instala pensando solo en que conteste bien. Contestar bien es la mitad del trabajo. La otra mitad es que, el día que alguien intente usarlo en tu contra, el daño sea pequeño y lo veas de inmediato.

Esta es mi lista: las siete cosas que reviso antes de prender un agente, y las que te recomiendo exigirle a cualquier proveedor, incluido yo.

Antes de conectar: accesos, llaves y alcance

1. Accesos mínimos: el agente no tiene llaves de más

La regla se llama least privilege (privilegio mínimo): cada agente puede hacer solo lo que su tarea requiere, y nada más. Un agente que agenda citas puede leer y escribir en la agenda. No puede borrar clientes, ver la nómina ni exportar la base completa.

El error que más veo es el contrario: conectar al agente con el usuario administrador “porque así funciona todo a la primera”. Funciona. Y el día que alguien lo desvía, tiene las llaves de todo. OWASP, en su Top 10 de riesgos para aplicaciones con IA de 2025, lo pone entre las mitigaciones principales contra prompt injection. Yo lo pongo primero porque sin esto, lo demás es maquillaje.

2. Las llaves viven fuera del prompt, y se cambian

API key es la contraseña con la que tu agente se conecta al modelo y a tus sistemas. Si está escrita dentro de las instrucciones del agente, cualquiera que logre que el agente “repita sus instrucciones” se la lleva. Lo he visto más de una vez.

Las llaves van en un lugar separado del texto que el modelo ve, con acceso restringido. Y se rotan: se cambian cada cierto tiempo y de inmediato cuando alguien del equipo o del proveedor se va. Si tu proveedor no sabe decirte cuándo fue la última rotación, nunca ha habido una.

3. Lista escrita de qué toca y qué no

Antes de prender nada, escribo en una hoja qué sistemas puede tocar el agente y qué puede hacer en cada uno: leer, escribir, borrar. Y en la misma hoja, lo que no toca: banco, nómina, expedientes, correo del dueño.

Esa hoja la firma el dueño. No por burocracia: porque es la primera vez que muchos ven, en una página, a qué le están dando acceso. Varios cambian de opinión ahí mismo. Es “sin cajas negras” llevado a la práctica.

Antes de prender: bitácora, escalamiento, pruebas y privacidad

4. Registro de cada acción

Si el agente agendó, cobró, cotizó o escaló, tiene que quedar escrito: qué hizo, cuándo, con qué cliente y por qué. Log, le decimos. Es la bitácora del agente.

Sin log no sabes si te atacaron, no puedes explicarle a un cliente qué pasó, y no puedes mejorar al agente porque no sabes dónde falla. El dueño debe poder abrir esa bitácora sin pedírmela a mí. Y la LFPDPPP te pide medidas de seguridad acordes al riesgo; demostrar quién tocó qué es parte de eso.

5. Reglas de escalamiento escritas, no “el agente sabrá”

Hay decisiones que el agente no toma: descuentos fuera de política, reembolsos, cambios de cuenta bancaria, quejas con amenaza legal, cualquier cosa con datos de salud. Esas reglas se escriben antes, con el dueño, y se programan. El agente detecta el caso y lo pasa a una persona, con el contexto completo, para que no empiece de cero.

Lo que no acepto es “el modelo es muy inteligente y sabrá cuándo escalar”. A veces sabe. Un negocio no se opera con “a veces”. Una persona siempre detrás es una lista de casos, no un eslogan.

6. Pruebas con casos adversos antes de prender

Antes de que el agente vea a un cliente real, lo ataco yo. Le pido descuentos que no existen. Le pido datos de otro cliente. Le mando un archivo con instrucciones escondidas. Le escribo como si fuera el dueño pidiendo algo fuera de regla. Me hago el enojado, el confundido, el insistente.

OWASP lo recomienda como pruebas adversas, tratando al modelo como un usuario no confiable. En lenguaje de negocio: antes de darle la caja al empleado nuevo, le haces preguntas difíciles. Lo que falla se corrige antes de prender, no después del primer cliente que lo encuentre.

7. Aviso de privacidad actualizado

El agente trata datos personales de tus clientes. Tu aviso de privacidad tiene que decir que usas herramientas automatizadas y terceros proveedores de tecnología. Si tu aviso es el de hace cinco años, no lo dice. Con la ley de 2025 no es opcional, y es lo primero que un cliente molesto o un abogado van a revisar.

Lo que esta lista no resuelve

Te lo digo claro: ninguna lista hace al agente invulnerable. Los propios fabricantes de modelos publican que sus defensas contra prompt injection reducen el riesgo, no lo eliminan. Lo que la lista hace es acotar el daño y hacerlo visible. Un agente con accesos mínimos, llaves protegidas, bitácora y escalamiento puede ser engañado, pero engañado puede hacer poco, y lo vas a ver.

Esa es la diferencia entre un susto y una pérdida.

Qué puedes hacer esta semana

1. Pídele a tu proveedor la hoja del punto 3: qué sistemas toca el agente y qué puede hacer en cada uno. Si no existe, pide que la hagan.
2. Pregunta con qué usuario entra el agente a tus sistemas. Si es el del administrador, pide que se cree uno propio con permisos limitados.
3. Pide ver la bitácora de la última semana. Si no hay, ya sabes qué falta.
4. Escribe tú los cinco casos que el agente nunca debe resolver solo y entrégaselos a tu proveedor.
5. Lee tu aviso de privacidad buscando la palabra “automatizado”. Si no aparece, toca actualizarlo.

Cómo ayuda AgileNext

Estas siete revisiones son parte del diagnóstico de proceso sin costo con el que arranca cualquier agente Axora, y las mismas que Blindaje Empresarial aplica a los agentes que ya tienes, dentro de un sprint de 45 días alineado a ISO 27001 sin obligarte a certificarte, con validación independiente de aliados especializados. El agente opera conectado a tu WhatsApp y a lo que ya usas, con las llaves justas y una persona siempre detrás.

Agenda una llamada de 20 minutos y revisamos juntos si tu agente actual pasa estos siete puntos.

Te puede interesar: Cobranza con agentes de IA: promesas de pago sin perseguir a nadie · Ciberseguridad sin departamento de TI: qué sí puede hacer un dueño