Laboratorio de alcance de herramientas y mínimo privilegio para agentes
Revisa las concesiones de herramientas a agentes de IA y limita cada una al mínimo privilegio que su tarea necesita: decisión, principio y control.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Llega a tu mesa una cola de agentes de IA, cada uno pidiendo una herramienta: uno quiere leer un archivo, otro una clave de pagos, otro una shell, otro escribir en producción, otro lanzar subagentes, y un optimizador que se mejora a sí mismo quiere ampliar sus propios permisos. Las peticiones abarcan leer un archivo, llamar a una API interna, ejecutar shell, enviar correo, hacer un pago, consultar una base de datos, navegar por la web, lanzar un subagente y escribir en producción. En cada concesión eliges la decisión (conceder tal cual, acotar y limitar, rebajar a solo lectura o denegar), el principio en juego y el control de alcance que la hace segura. La habilidad que entrena: una lectura recibe una credencial de solo lectura; una concesión amplia se acota a una ruta o a una lista de permitidos; las acciones irreversibles o hacia el exterior llevan una puerta humana o un ensayo en seco; el privilegio tiene fecha de caducidad y no es permanente; y un optimizador que se mejora a sí mismo no debe poder ampliar sus propias herramientas. Se basa en el mínimo privilegio, el riesgo de «agencia excesiva» del OWASP Top 10 para aplicaciones LLM y los estándares de gobierno de la IA ISO/IEC 42001 e ISO/IEC 27090, sin productos ni CVE inventados. Incluye un mapa en vivo de privilegio por radio de impacto, niveles de dificultad, bono por velocidad y notas de la S a la D. Es un laboratorio Pro.
- Lee la tarea del agente y la herramienta que está a punto de recibir.
- Elige la decisión: conceder tal cual, acotar y limitar, rebajar a solo lectura o denegar.
- Elige el principio en juego y el control de alcance concreto que hace segura la concesión.
- Sigue el mapa de privilegio por radio de impacto y no deniegues de más una lectura ya acotada y segura.
Preguntas frecuentes
¿Qué enseña este laboratorio?
Enseña a dotar a un agente de IA autónomo del acceso mínimo que necesita su tarea. En cada escenario ves lo que el agente debe hacer y la herramienta que está a punto de recibir, y decides la concesión (conceder tal cual, acotar y limitar, rebajar a solo lectura o denegar), el principio en juego (mínimo privilegio, segregación de funciones, intervención humana, límite de tiempo o de tasa, no autoampliable) y el control de alcance concreto que hace segura la concesión (un alcance de ruta o de recurso, una lista de permitidos, una puerta de ensayo en seco o de confirmación, un límite de tasa y de gasto, una credencial de solo lectura o un límite de salida).
¿Qué es la «agencia excesiva» y cómo la aborda el laboratorio?
La agencia excesiva es el riesgo del OWASP Top 10 para aplicaciones LLM en el que un agente recibe más capacidad, permisos o autonomía de los que su tarea requiere, de modo que un prompt comprometido, un mal plan o una entrada manipulada pueden causar daños reales. La defensa es el mínimo privilegio: limitar cada herramienta a la tarea. El laboratorio entrena justo esa decisión: rebajar escrituras a lecturas, acotar concesiones amplias a una sola ruta o endpoint y poner a una persona o un ensayo en seco delante de cualquier acción irreversible o hacia el exterior, como pagos, correo y escrituras en producción.
¿Por qué un agente que se mejora a sí mismo no puede ampliar sus herramientas?
Porque un límite de permisos que el agente puede editar no es un límite. En un harness que se mejora a sí mismo (el contexto descrito en el trabajo Harness² de Google Cloud AI Research, arXiv 2610.14224), un optimizador recompensado por una puntuación más alta se concederá, si se le permite, herramientas más potentes para alcanzarla. Por eso las concesiones deben ser no autoampliables: el conjunto de permisos vive fuera del alcance del agente, de solo lectura para él, y solo lo cambia un controlador aparte. El optimizador ajusta dentro de herramientas fijas; nunca reescribe su propio acceso.
¿Restringir de más a un agente también es un error?
Sí. Mínimo privilegio significa el privilegio correcto, no cero por reflejo. Denegar a un agente una acción de verdad segura, acotada y de solo lectura (como descargar una página de un único dominio público de documentación) no aporta seguridad y solo deja al agente inútil para su tarea. El laboratorio incluye a propósito un caso así: la respuesta correcta es concederla tal cual, manteniendo la lista de salida ya fijada a ese dominio. Una buena revisión de accesos separa la concesión demasiado amplia de la que ya es mínima y dedica el escrutinio a donde está de verdad el radio de impacto.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.