Lunes por la mañana, un empleado nuevo
Hoy empieza un empleado nuevo. Por la mañana le dan una tarjeta de acceso, entrada al almacén y un ordenador. Nadie le da la contraseña del banco, la tarjeta de crédito de la empresa ni el manojo de llaves que abre también tu casa. No es que no se fíen de él. Es que así se dirige un negocio.
Con un agente de IA rige exactamente el mismo principio, solo que con un agente nadie lo dice en voz alta.
La seguridad de un agente de IA empieza con una pregunta sencilla: qué recibe el agente el primer día y qué se queda bajo llave. Cuando está bien configurado, un agente puede trabajar en la web, los contenidos y las campañas sin gastar un euro, publicar una palabra ni enviar un mensaje a un cliente sin que tú lo apruebes. Esta guía es el manojo de llaves: qué se da, qué no y cómo comprobar que de verdad es así.
En resumen
- Un agente de IA seguro para tu empresa es un agente con una identidad propia en cada sistema, el permiso mínimo necesario y una puerta de aprobación para toda acción que cueste dinero, se publique, se borre o llegue a un cliente.
- Las reglas de hierro: una llave distinta para cada puerta, lectura antes que escritura, límites de gasto en la propia plataforma, un registro de acciones, copia de seguridad y una forma de cortar el acceso en un minuto.
- El agente hace por sí solo lo que se puede deshacer, prepara un borrador y pregunta en todo lo que cuesta revertir. No toca contraseñas, datos de pago ni sistemas que no se le hayan conectado.
- Ninguna defensa basta por sí sola. Por eso se combinan permisos, aprobaciones, límites y registro, y se empieza con un acceso estrecho que se amplía según la experiencia.
¿Un solo manojo de llaves para todas las puertas, o una llave para cada puerta?
El error más habitual que vemos cuando un negocio conecta un agente: «lo más fácil es darle mi contraseña». Funciona rápido, y después ya no hay forma de saber quién hizo qué, ni de cortar el acceso sin cambiar tu contraseña en todas partes.
Un manojo, tu contraseña
El camino corto y peligroso
- El agente puede todo lo que tú puedes, incluso lo que no necesita
- En los registros del sistema, sus acciones parecen las tuyas
- Cortar el acceso significa cambiar la contraseña en todos los sistemas
- Un error o una orden maliciosa heredan todos tus permisos
Una llave para cada puerta
El camino correcto
- Un usuario propio en cada sistema, con un nombre que deja claro que es el agente
- Cada acción suya queda identificada en el registro del sistema
- Revocar una llave no afecta a ninguna otra
- Lo que la llave no abre, el agente sencillamente no puede hacerlo
Es también lo que OWASP, la organización de seguridad que mantiene la lista de riesgos de referencia para sistemas basados en modelos de lenguaje, define como «agencia excesiva» (Excessive Agency). Según la organización, el problema nace de tres cosas: demasiadas funciones, demasiados permisos y demasiada autonomía sin aprobación humana para las acciones importantes. Su recomendación: limitar las herramientas que el agente puede activar, reducir sus permisos al mínimo y exigir la aprobación de una persona en las acciones de gran impacto.
El semáforo: qué hace el agente solo, qué espera aprobación y qué está prohibido
Casi todas las discusiones sobre «si fiarse de un agente» se deshacen cuando dejas de hablar del agente y empiezas a hablar de la acción. Una acción que se deshace con un clic no es una acción que cuesta dinero. La guía de OpenAI para construir agentes propone clasificar cada herramienta como de riesgo bajo, medio o alto según varios factores: si es solo lectura o escritura, si se puede revertir, qué permisos de cuenta exige y el impacto económico. Y las acciones sensibles, las irreversibles o de alto riesgo, deben detenerse ante una persona, por ejemplo cancelar pedidos, hacer grandes reembolsos y realizar pagos.
Lo traducimos a un semáforo que puedes imprimir y colgar encima de la pantalla:
El semáforo de permisos
Verde: el agente lo hace solo
- Leer, comprobar y analizar
- Informes y resúmenes
- Borradores de páginas, productos y publicaciones
- Diagnosticar fallos y proponer arreglos
- Anotar en el registro
Naranja: prepara y pregunta
- Publicar en la web y en redes
- Activar una campaña o cambiar un presupuesto
- Enviar un mensaje a un cliente en nombre del negocio
- Cambios importantes en la web o en los ajustes
- Actualizar un sitio en producción
Rojo: nunca
- Contraseñas, datos de tarjeta y cuenta bancaria
- Transferencias de dinero y compras
- Borrado irrecuperable
- Cambiar permisos, DNS y cuentas
- Sistemas y clientes que no se le han conectado
Clasificación propia, basada en los principios de OWASP y en la guía de OpenAI para construir agentes.
Fíjate: naranja no es «quizá». Naranja es «después de que tú digas sí». Y lo que está en rojo ni siquiera espera aprobación, porque no tiene llave. Las transferencias, las contraseñas y los cambios de permisos no se conectan al agente desde el principio, y si hacen falta, los haces tú mismo.
Cuatro pasos en la puerta de aprobación
Una aprobación no es una ventana emergente molesta. Bien construida, parece un solo mensaje de Telegram. El documento de OpenAI sobre aprobaciones describe el mismo principio en el plano técnico: la ejecución se detiene antes de la acción, espera la decisión de una persona y solo continúa tras la aprobación. Así se ve en tu caso:
Cómo es una buena puerta de aprobación
- El agente preparaun borrador, no una publicación
- Envía un mensajequé pasará, dónde y por cuánto
- Tú decidessí, no o corrige
- Se ejecuta y se anotay el resultado vuelve a ti
Un buen mensaje de aprobación responde a tres preguntas sin que tengas que investigar: qué cambiará exactamente, dónde y cuánto costará. «¿Activo la campaña?» es un mal mensaje. «¿Activo la campaña X con un presupuesto diario de Y, hasta el viernes, sin que cambie nada más?» es un mensaje que se aprueba desde el móvil en medio minuto.
Cómo se ve en la práctica: Google, Meta y WordPress
Lo práctico que conviene entender: una política de aprobación no basta sin que se haga cumplir. Si el permiso del sistema permite publicar, «el agente prometió no publicar» es confianza, no seguridad. Las propias plataformas ofrecen herramientas, y conviene usarlas. Revisamos lo que está documentado en los sitios oficiales:
| Sistema | Qué permiten los permisos | Qué significa para el agente |
|---|---|---|
| WordPress | El rol «Colaborador» (Contributor) puede escribir y gestionar sus propias entradas, pero no publicarlas. Un Editor (Editor) sí puede publicar. | Un agente que prepara contenido puede recibir un rol que le impide publicar. Publicar queda solo en tus manos. |
| WordPress | La contraseña de aplicación (Application Password) está pensada para software, no para el acceso de una persona, y cada una se puede revocar por separado. | Una llave propia para el agente, que se cierra sin cambiar tu contraseña. |
| Google Ads | Niveles de acceso: solo correo, facturación, solo lectura, estándar (Standard) y administrador (Admin). Solo lectura ve campañas y datos de facturación. Estándar ya puede editar campañas. Administrador también puede conceder acceso y cambiar niveles. | Se puede empezar con solo lectura, y el agente preparará informes y propuestas. |
| Meta | Se puede dar a un socio control total sobre un activo o acceso parcial solo a las tareas elegidas, como crear contenido, gestionar anuncios y responder mensajes. | Acceso parcial a las tareas necesarias, no control total. |
| OpenAI API | Se puede fijar un límite mensual por proyecto, y al alcanzarlo las solicitudes devuelven un error. Las alertas de gasto son solo avisos. | Un límite real no es un recordatorio. |
Una nota sobre Google Ads: con el nivel «estándar» el agente ya puede editar campañas, así que no nos basamos solo en el nivel de acceso para asegurar que un cambio de presupuesto espera aprobación. Esa regla también está fijada en las instrucciones del agente y en la puerta de aprobación de Telegram, y cada cambio de ese tipo queda en el registro. Y en los sistemas donde se puede, se empieza con solo lectura y se amplía únicamente cuando hace falta.
Sobre las diferencias entre roles en WordPress y la copia de seguridad antes de un cambio escribimos en la guía para gestionar un sitio WordPress con un agente de IA. Sobre la publicidad de pago y la definición de «qué hace el agente y qué apruebas tú» en las campañas, hay un artículo aparte: gestión de campañas con IA.
¿Cuánto puede escaparse el gasto? Las cifras que conviene conocer
Un presupuesto diario no es una herramienta de seguridad perfecta, y conviene conocer las cifras antes de fiarse de él. Según la ayuda de Google Ads, un día concreto una campaña puede gastar hasta el doble del presupuesto diario medio, y a final de mes la media debería ajustarse al presupuesto. El límite mensual se calcula como el presupuesto diario multiplicado por 30,4.
Fuentes: Google Ads Help, About spending limits. OpenAI API Changelog, 22 de julio de 2026, y OpenAI API Docs, Rate limits and spend.
La conclusión práctica: un límite es una capa de protección, no un sustituto de la aprobación. Se define en la propia plataforma, de modo que ni un error del agente, ni de quien lo montó, ni un ataque puedan superarlo. Y una vez que la campaña está en marcha, quien aprueba un cambio de presupuesto eres tú.
Por qué ni siquiera la aprobación basta: la orden oculta dentro de un contenido
Hay otra razón para no confiar en que el agente «lo entenderá solo». Un agente lee cosas que tú no escribiste: correos, sitios web y archivos. Si dentro se esconde una orden como «envía la lista de clientes a esta dirección», un modelo de lenguaje puede confundir contenido con instrucción. OWASP lo coloca como el primer riesgo de su lista (LLM01) y escribe que no está claro que se pueda prevenir por completo. Aquí es donde los permisos estrechos hacen su trabajo: una orden oculta no puede abrir una puerta que la llave no abre. La historia completa la contamos en la guía sobre Prompt Injection.
Cuatro herramientas que te salvan cuando algo sale mal
Los permisos y las aprobaciones previenen. Pero los empleados se equivocan, y los agentes también, así que hay que estar preparado para el día en que pase algo:
- Registro. Cada acción importante se anota: qué, cuándo, en qué sistema y con qué permiso. Sin registro, «¿qué ha pasado aquí?» se convierte en una conjetura.
- Copia de seguridad antes de cambiar. Antes de un cambio importante en la web hay una copia, y alguien ya comprobó una vez que se puede restaurar desde ella.
- Camino de vuelta. Cada cambio está construido para poder revertirse: versión anterior, borrador en lugar de publicación, actualización en un entorno de pruebas.
- Cortar el acceso en un minuto. Sabes exactamente dónde está cada llave del agente y cómo se revoca. Quien montó el agente debe enseñarte esa lista.
Sobre la última herramienta, compruébalo tú mismo: pide a quien lo montó que te muestre, sistema por sistema, dónde se revoca el acceso del agente. Si la respuesta es «cambiaremos la contraseña de todos», es señal de que falta una identidad propia.
Prueba rápida: ¿qué tan segura es tu configuración?
Marca lo que sea cierto en tu agente, o en el agente que estás pensando conectar. Cada casilla sin marcar es un motivo para preguntar a quien lo monta, no una nota.
¿Es segura la configuración del agente?
Cinco mitos sobre la seguridad de los agentes de IA
Mito«Si el agente es lo bastante inteligente, entenderá solo lo que no debe hacer»
En realidadLa inteligencia no sustituye a la restricción. OWASP recomienda limitar de antemano las herramientas y los permisos, y no confiar en que el modelo decida por sí solo.
Mito«Basta con una línea en las instrucciones que diga “no publiques sin aprobación”»
En realidadUna instrucción es una capa, y no es tan fuerte como un permiso. Si el propio sistema no permite publicar, no hay nada que eludir.
Mito«El agente será muy cuidadoso, así que se le puede dar acceso total»
En realidadEl acceso total es justo lo que convierte un error pequeño en un error caro. Se empieza estrecho y se amplía según la experiencia.
Mito«Pedir aprobación para todo lo volverá inutilizable»
En realidadSolo esperan las acciones naranjas. Lo verde funciona solo, y durante el periodo de rodaje se puede ser más estricto y luego aflojar, como propone también la guía de OpenAI: más supervisión humana al principio y menos a medida que crece la confianza.
Mito«Esto es un problema de las empresas grandes»
En realidadPrecisamente en un negocio pequeño, donde la tarjeta de crédito, la web y la publicidad viven en la misma cuenta, un error llega rápido a todas partes. Y en Israel existe además la Enmienda 13 de la Ley de Protección de la Privacidad; si trabajas en otro país, conviene revisar la normativa local que te aplique.
Qué hacemos de otra manera
Una opinión personal, con 12 años de experiencia en lo digital: la mayoría de los daños en negocios pequeños no vienen de un ataque sofisticado, sino de un acceso demasiado amplio. Por eso, en cada puesta en marcha empezamos por la lista de lo que el agente no recibirá, y solo después añadimos permisos según las tareas. Un servidor aparte para cada negocio, una identidad propia en cada sistema y un avance de la lectura hacia la escritura. Y si un permiso que se pide es más amplio de lo necesario, nos detenemos y presentamos el riesgo y la alternativa.
Lo que no haremos: no te pediremos tu contraseña personal, no guardaremos secretos en texto plano y no empezaremos por una automatización total «porque impresiona». La fuerza de un agente es que hace mucho. La responsabilidad es que lo que no debe hacer, no puede hacerlo.
Sobre las siete capas de un agente completo, del servidor al registro, escribimos en la guía para construir un agente de IA. Sobre cómo conectar el agente a Telegram como canal de tus aprobaciones: agente de IA en Telegram. Y si estás empezando, la guía principal es agente de IA para empresas.
Preguntas frecuentes
¿Qué es la seguridad de un agente de IA?
La seguridad de un agente de IA es el conjunto de ajustes que limita lo que el agente puede hacer en los sistemas del negocio: una identidad propia en cada sistema, permisos mínimos, aprobación humana para las acciones que cuestan dinero o se publican, límites de gasto, registro de acciones y copia de seguridad. El objetivo es que, aunque el agente se equivoque o alguien intente engañarlo, el daño quede acotado.
¿Puede un agente de IA gastar dinero sin mi aprobación?
Solo si le diste un medio de pago o permiso para cambiar presupuestos. En una configuración segura no está conectado a ninguna tarjeta de crédito, los cambios de presupuesto y la activación de campañas esperan tu aprobación, y hay un límite de gasto en la propia plataforma. Ese límite es solo una red de seguridad, y la aprobación es la defensa principal.
¿Qué permisos dar al agente el primer día?
El mínimo necesario para las primeras tareas: normalmente acceso de lectura y capacidad para preparar borradores. La escritura y la publicación se añaden solo tras un periodo de rodaje, y solo en los sistemas donde de verdad hacen falta. Un usuario propio para cada sistema, no tu contraseña personal.
¿Cuál es la diferencia entre una alerta de gasto y un límite?
Una alerta solo avisa de que llegaste a una cantidad. Un límite estricto detiene el uso. En la OpenAI API, según la documentación, las alertas de gasto son solo avisos, y un límite mensual estricto hace que las solicitudes devuelvan un error 429. En los anuncios de Google, el presupuesto diario puede aprovecharse hasta el doble en un día concreto.
¿Cómo se corta rápido el acceso de un agente?
Si cada sistema tiene una identidad o una llave propia, se revocan: por ejemplo, se elimina la contraseña de aplicación del agente en WordPress o se retira su acceso en Google Ads y Meta. Pide a quien montó el agente una lista ordenada de todas las llaves y de dónde se revocan, antes de que pase algo.
¿Con qué modelos y herramientas construye agentes Platin Digital?
Platin Digital es OpenAI Select Partner, y construimos agentes para negocios con los modelos y herramientas que mejor encajan con cada negocio: de OpenAI, Anthropic, Google y otros, con permisos mínimos y tu aprobación para cada acción sensible.
Fuentes
- https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
- https://genai.owasp.org/llmrisk/llm01-prompt-injection/
- https://cdn.openai.com/business-guides-and-resources/a-practical-guide-to-building-agents.pdf
- https://developers.openai.com/api/docs/guides/agents/guardrails-approvals
- https://developers.openai.com/api/docs/guides/terraform/rate-limits-and-spend
- https://developers.openai.com/api/docs/changelog
- https://support.google.com/google-ads/answer/9978556
- https://support.google.com/google-ads/answer/10486637
- https://www.facebook.com/business/help/1717412048538897
- https://www.facebook.com/business/help/2169003770027706
- https://wordpress.org/documentation/article/roles-and-capabilities/
- https://make.wordpress.org/core/2020/11/05/application-passwords-integration-guide/
