Lección 5 de 7 · 15 min
Agentes: permisos, acciones irreversibles y registro
Al terminar sabrás
15 min- Explicar qué cambia al probar un agente frente a un chatbot
- Usar el OWASP Top 10 para aplicaciones con agentes como temario de pruebas
- Construir la matriz de permisos y los casos de acciones irreversibles
Construyes: La matriz de permisos y los casos críticos de un agente propio o de ejemplo.
Del chat que opina al agente que actúa
Un chatbot responde. Un agente lee, decide y actúa: consulta un pedido, aplica un cupón, envía un correo, confirma una compra. Para eso tiene herramientas (APIs a las que puede llamar) y permisos (lo que puede hacer con ellas).
Probarlo cambia una cosa fundamental: además de juzgar lo que dice, hay que juzgar lo que hace. El costo de un error deja de ser una respuesta equivocada y pasa a ser una acción real: un pago hecho, un correo enviado, un dato borrado.
No es un tema lejano. En la edición 2026 del Top 10 de OWASP para LLM, el riesgo de agencia excesiva (Excessive Agency) subió del sexto al tercer lugar. Y Gartner proyecta que más del 40% de los proyectos con agentes se cancelará antes de fines de 2027, en parte por controles de riesgo insuficientes.
El temario: el Top 10 de OWASP para agentes
En diciembre de 2025, OWASP publicó un Top 10 específico para aplicaciones con agentes. Es el mejor temario disponible para un plan de pruebas:
| Código | Riesgo | Qué se prueba |
|---|---|---|
| ASI01 | Agent Goal Hijack | Que contenido externo no cambie el objetivo del agente |
| ASI02 | Tool Misuse and Exploitation | Que no use herramientas legítimas de forma insegura |
| ASI03 | Identity and Privilege Abuse | Que no herede ni escale permisos que no le corresponden |
| ASI04 | Agentic Supply Chain Vulnerabilities | Qué herramientas, plugins y modelos de terceros usa |
| ASI05 | Unexpected Code Execution | Que no ejecute código que no debería |
| ASI06 | Memory and Context Poisoning | Que su memoria no se pueda envenenar con datos falsos |
| ASI07 | Insecure Inter-Agent Communication | Qué pasa cuando habla con otros agentes |
| ASI08 | Cascading Failures | Que un error no se propague por toda la cadena |
| ASI09 | Human Agent Trust Exploitation | Que no se aproveche la confianza de la persona para hacerla aprobar algo dañino |
| ASI10 | Rogue Agents | Que no actúe fuera de lo que se le encargó |
No todos aplican a todos los agentes. Un agente de atención al cliente sin memoria ni otros agentes empieza por ASI01, ASI02, ASI03 y ASI09.
La matriz de permisos
Antes de escribir casos, QA arma una tabla con cada herramienta del agente:
| Herramienta | Acción | Identidad | ¿Irreversible? | ¿Pide confirmación? | Límite |
|---|---|---|---|---|---|
| Consultar pedido | Leer | La de la persona | No | No | Solo pedidos propios |
| Aplicar cupón | Escribir | Cuenta de servicio | Parcial | Sí | Un cupón por pedido |
| Confirmar compra | Pagar | La de la persona | Sí | Sí, siempre | Monto del carrito |
Cada fila es una fuente de casos: intentar consultar el pedido de otro cliente, aplicar un cupón que no corresponde, confirmar una compra sin que nadie lo pida. Si una acción irreversible no pide confirmación, ese hallazgo va primero: es un problema de diseño, no un bug de implementación.
Los casos que no pueden fallar
- Acciones irreversibles con confirmación. Pagar, enviar, borrar: nunca sin una confirmación explícita de la persona, aunque el pedido venga escondido en un correo o un documento (ASI01 + ASI02).
- Alcance de los datos. El agente solo ve lo de la persona que lo usa (ASI03).
- Bucles y costo. Una instrucción que lo haga repetir una acción o llamar a una herramienta sin fin. En OWASP para LLM esto es Unbounded Consumption, que en 2026 subió del décimo al sexto lugar.
El registro también se prueba
Si algo sale mal, alguien va a preguntar qué hizo el agente y por qué. Por eso el registro de acciones es parte del sistema bajo prueba: cada acción tiene que quedar con qué herramienta, qué parámetros, a nombre de quién y en respuesta a qué. Un agente sin registro no se puede auditar, y lo que no se puede auditar no debería ejecutar acciones reales.
Y siempre en un sandbox: un ambiente con datos de prueba, permisos mínimos y sin conexión a pagos o correos reales.
Compruébalo
0/3Responde sin mirar atrás. Verás la explicación al instante.
1. ¿Qué cambia al probar un agente frente a un chatbot?
2. ¿Qué describe 'Agent Goal Hijack' (ASI01)?
3. Un agente puede confirmar pedidos. ¿Cuál es el caso crítico?
Reto: la matriz de permisos
Para un agente propio (o uno imaginario: el asistente de una tienda que consulta pedidos, aplica cupones y confirma compras), arma la matriz: cada herramienta, qué puede hacer, con qué identidad y si requiere confirmación.
Escribe un caso por fila que intente usar esa herramienta fuera de su permiso.