Seguridad de agentes: que nadie los engañe

Qué vas a ver en esta lección

1. Por qué un agente es más fácil de engañar

   Un agente lee contenido de terceros y además actúa: si alguien le cuela una orden, la puede ejecutar con tus permisos.

2. Inyección de instrucciones: directa e indirecta

   Alguien mete una orden en lo que el agente lee: en el chat (directa) o escondida en una web, un correo o un PDF (indirecta).

3. No hay parche definitivo: limita los daños

   El modelo no distingue con fiabilidad una orden de un dato, así que la defensa real es limitar lo que puede hacer si cae.

4. Servidores MCP envenenados

   El modelo lee y obedece la descripción de cada herramienta MCP, así que un servidor malicioso puede esconder órdenes ahí.

5. Claves expuestas: el error más caro

   Una clave en el código, en un .env subido a GitHub o dentro del contexto del agente acaba, tarde o temprano, en malas manos.

6. Entorno aislado: que trabaje dentro de una caja

   Un sandbox limita qué ficheros ve el agente y a qué dominios se conecta, aunque lo engañen.

7. Permisos mínimos: solo lo imprescindible

   Da al agente justo lo que necesita su tarea: OWASP llama «agencia excesiva» (LLM03) a darle de más.

8. Aprobación humana y registros

   Lo que no tiene vuelta atrás lo aprueba una persona, y cada acción del agente queda registrada.

9. Resumen: agentes que no se dejan engañar

   Diseña como si el agente fuera a ser engañado: que, si cae, no pueda hacer daño importante.