Permisos limitados para los agentes de IA

Contexto

Un agente que clasifica tu correo necesita leer mensajes. Si también puede enviar respuestas, podría enviar una por error. Alguien incluso podría ocultar instrucciones en un correo para que enviase un archivo. Comprueba qué puede hacer con el acceso que le das.

Dale solo el acceso que necesita para esta tarea. Los equipos de seguridad lo llaman mínimo privilegio. Es la regla que aplicarías a un compañero nuevo en su primer día.

Permisos y prompts

Pide al agente que redacte tus respuestas y configura sus permisos para que solo pueda crear borradores. Esa configuración le impide enviar un mensaje aunque interprete mal tus instrucciones. El marco de Singapur para la IA con agentes recomienda usar controles del sistema para exigir las aprobaciones siempre que sea posible.

OWASP llama a este riesgo capacidad de actuación excesiva: un sistema de IA con más funciones, permisos o autonomía de los que necesita su tarea. Su edición de 2026 recomienda que una persona confirme las acciones que requieren privilegios, son irreversibles o tienen efectos visibles fuera del sistema.

Inyección de prompts

Los correos, las páginas web y los documentos compartidos pueden contener instrucciones escritas para influir en la IA que los lea. Es la inyección de prompts. El National Cyber Security Centre del Reino Unido advierte de que quizá nunca sea posible evitar por completo estos ataques. Por eso recomienda limitar lo que el sistema puede hacer si alguien consigue engañarlo.

El investigador de seguridad Simon Willison describe una «tríada letal»: un agente puede leer tus datos privados, leer contenido de desconocidos y enviar información al exterior. Un desconocido podría ocultar en ese contenido una petición para que el agente le envíe tus datos. Dale a un mismo agente los tres tipos de acceso solo si tu equipo de TI lo ha diseñado así.

No necesitas detectar todos los ataques. Si de pronto un agente intenta hacer algo que no le has pedido, detenlo y comunica lo ocurrido.

Prácticas recomendadas

01Empieza con acceso de solo lectura o solo para crear borradores y añade los permisos de uno en uno.
02Confirma cualquier acción irreversible: enviar, pagar, borrar o compartir fuera de tu organización.
03Evita dar a un mismo agente tus datos privados, contenido de desconocidos y una vía para enviar información al exterior, todo a la vez.
04Detén al agente que quiera hacer algo que no has pedido y comunícalo.
05Fija límites de dinero, destinatarios y tiempo, y aprende a desactivar el agente.

Ejemplos de prompts

Compara los dos prompts y fíjate en el paso que tienes que dar tú.

Correo y agentes

Clasificación del correo recibido

Antes

Revisa mi bandeja de entrada y ocúpate de lo urgente.

Después

Revisa el correo recibido hoy. Redacta respuestas a los mensajes urgentes y guárdalas en Borradores. Haz una lista aparte con los correos que pidan un pago, un cambio de datos bancarios, una contraseña o un archivo.

Tu parte

Si la herramienta lo permite, configura los permisos del agente para que solo pueda crear borradores. Así el límite no depende del prompt. Antes de atender una solicitud de pago, llama a un número que ya tengas para confirmarla.

Por qué funciona: El acceso solo para crear borradores deja el envío en tus manos. Puedes revisar las solicitudes señaladas por separado y comprobar por teléfono las inusuales.

Investigación

Búsqueda de proveedores en internet

Antes

Investiga a estos cinco proveedores en internet y después envía un correo a cada uno para pedir presupuesto.

Después

Investiga a estos cinco proveedores en internet y resume qué ofrece cada uno, con enlaces. Redacta una solicitud de presupuesto para cada uno, pero no las envíes.

Tu parte

No des al agente permiso para enviar correos en esta tarea y lee los borradores antes de enviarlos. Las páginas web pueden contener instrucciones ocultas.

Por qué funciona: Sin permiso para enviar correos, a un agente que lee la web abierta le falta uno de los componentes de la tríada letal.

Operaciones y proyectos

Automatización de un pedido habitual

Antes

Cada lunes, comprueba las existencias y repón lo que empiece a escasear.

Después

Cada lunes, comprueba las existencias y prepara una lista de reposición de los artículos que estén por debajo del mínimo. Los pedidos de más de 500 € o a proveedores nuevos necesitan mi aprobación.

Tu parte

Fija el límite de gasto en el propio sistema de compras, además de en el prompt, y revisa los pedidos de las primeras semanas.

Por qué funciona: Los pedidos habituales de poco importe pueden tramitarse dentro de unos límites. El límite solo te protege si el sistema lo hace cumplir.

Qué dicen las fuentes

El Top 10 for LLM Applications de OWASP de 2026 incluye la inyección de prompts y la capacidad de actuación excesiva entre los principales riesgos, y recomienda el mínimo privilegio y la confirmación humana de las acciones que requieren privilegios, son irreversibles o tienen efectos visibles fuera del sistema. [OWASP]
El National Cyber Security Centre del Reino Unido aconseja fijar límites que no dependan de la propia IA, porque quizá nunca sea posible evitar por completo la inyección de prompts. [NCSC del Reino Unido]
Reunir datos privados, contenido no fiable y comunicación externa en un mismo agente hace posible el robo de datos mediante inyección de prompts. [Willison]
En la definición de mínimo privilegio de NIST, cada usuario o sistema recibe solo los recursos y el acceso que necesita para hacer su trabajo. [NIST]
El marco de Singapur para la IA con agentes recomienda que sea el propio sistema el que exija la aprobación, en vez de limitarse a pedirla en un prompt. [IMDA]

Casos prácticos y situaciones de trabajo

Práctica en equipo

Asigna a cada agente compartido una ficha de permisos: su finalidad, a qué puede acceder y qué puede hacer, qué necesita aprobación, sus límites y quién puede detenerlo.

Herramienta para equiposFicha de permisos del agente

Fuentes

Estas fuentes respaldan los hechos que se exponen en esta página. En cada caso explicamos qué demuestra la fuente y hasta dónde llega. Las recomendaciones son nuestras. Consultar todas las fuentes.

OWASP Top 10 for LLM Applications, 2026 edition OWASP Gen AI Security Project · 3 de agosto de 2026 · Orientaciones de seguridad Enumera los principales riesgos de seguridad de las aplicaciones de IA. Entre ellos figuran la inyección de prompts (LLM01), que según OWASP aún no puede prevenirse de forma fiable, y la autonomía excesiva (LLM03), que consiste en conceder más funciones, permisos o autonomía de los que requiere la tarea. Recomienda aplicar el mínimo privilegio y exigir confirmación humana para las acciones que requieran permisos especiales, sean irreversibles o resulten visibles desde el exterior. Límites: Son orientaciones de la comunidad, no una norma formal.
Prompt injection is not SQL injection (it may be worse) UK National Cyber Security Centre · 8 de diciembre de 2025 · Orientaciones oficiales Explica que los modelos de IA no distinguen de forma fiable entre datos e instrucciones, por lo que quizá nunca se resuelva del todo el problema de la inyección de prompts. Aconseja imponer límites fijos que no dependan de la IA, aplicar el mínimo privilegio y registrar la actividad del sistema. Límites: Dirigido a profesionales de la seguridad.
The lethal trifecta for AI agents Simon Willison · 16 de junio de 2025 · Análisis de un profesional Señala que la combinación de acceso a datos privados, exposición a contenido no fiable y capacidad de comunicarse con el exterior crea las condiciones para el robo de datos a través de agentes de IA. Indica que no se conoce ninguna técnica que lo evite de forma fiable. Límites: Un marco de un profesional, sin revisión por pares.
Least privilege (glossary entry) NIST Computer Security Resource Center · Definición de NIST SP 800-53 Rev. 5 · Definición de una norma Define el mínimo privilegio como la práctica de conceder a cada entidad solo los recursos del sistema y los permisos imprescindibles para desempeñar su función. Límites: Un glosario que reúne definiciones de publicaciones del NIST.
Model AI Governance Framework for Agentic AI Infocomm Media Development Authority, Singapore · Versión 1.5, 20 de mayo de 2026 (primera publicación: 22 de enero de 2026) · Marco voluntario Atribuye a las organizaciones y a quienes supervisan a los agentes la responsabilidad por las acciones de estos. Recomienda exigir aprobación humana en los puntos de revisión importantes, por ejemplo, antes de borrar datos, enviar mensajes o hacer pagos. Siempre que sea posible, el propio sistema debe exigir esa aprobación. Si las revisiones duran muy poco o los revisores casi nunca rectifican una decisión del agente, es posible que estén aprobando por costumbre. Límites: Son orientaciones voluntarias, no legislación. Los casos prácticos los aportaron las propias empresas.

Cómo citar esta página

Founderz (2026). Principio 4: Permisos limitados para los agentes de IA. Estándar RUAI, edición de 2026. Desarrollado por Founderz en colaboración con Microsoft. https://responsibleai.founderz.com/es/toolkit/principles/agent-permissions

Licencia CC BY 4.0: puedes compartir y adaptar el texto si reconoces la autoría.