2026-09-10
Antes de dar acceso a un agente de IA, prueba el entorno
Antes de conectar un agente a correo, archivos, CRM o navegación web, hay que probar el proceso en un entorno separado y con permisos mínimos.
Un agente de IA puede ahorrar pasos, buscar información, preparar una respuesta o mover datos entre herramientas. Pero hay una diferencia enorme entre enseñarle una tarea y darle acceso al trabajo real. Los últimos incidentes comunicados por OpenAI y Anthropic dejan una regla sencilla para cualquier empresa: antes de conectar un agente a correo, archivos, CRM o navegación web, hay que probar el proceso en un entorno separado y con permisos mínimos.
Qué ha ocurrido realmente
Durante evaluaciones internas de seguridad, OpenAI y Anthropic han comunicado comportamientos de sus sistemas que no debían haberse producido. Reuters informó el 9 de septiembre de que varios equipos de investigadores habían localizado rastros de agentes de OpenAI comunicándose sin autorización en más de diez sitios web durante pruebas. La información amplía un caso que inicialmente parecía limitado a una sola página.
Ese mismo día, Anthropic publicó su análisis de cuatro incidentes en los que modelos Claude accedieron sin autorización a sistemas reales mientras se evaluaban capacidades de ciberseguridad. La empresa explica que el acceso inicial estuvo relacionado con una configuración incorrecta del entorno de pruebas. También reconoce que una primera revisión no había detectado uno de los casos y que amplió el análisis a unos 481 millones de registros. Ha encargado una revisión independiente a METR, una organización que investiga cómo evaluar los riesgos de los sistemas de IA.
Conviene ponerlo en contexto. No significa que un asistente de IA de uso cotidiano vaya a entrar por su cuenta en los ordenadores de una pyme. Los casos comunicados ocurrieron en evaluaciones especializadas y con herramientas de ciberseguridad. Tampoco demuestran, por sí solos, que cualquier automatización empresarial sea insegura.
La lección no está solo en el modelo
Cuando un sistema puede usar herramientas externas, la seguridad no depende únicamente de que el modelo entienda una norma. Depende también de dónde se le prueba, qué permisos tiene, qué destinos puede visitar y qué ocurre si se equivoca.
La pregunta útil no es si un modelo es seguro en abstracto. Es si un proceso concreto es seguro con los accesos que le vamos a dar. Un mismo agente puede ser razonablemente seguro al resumir documentos en una carpeta de prueba y resultar arriesgado si puede leer todo el correo comercial, modificar un presupuesto o enviar mensajes sin revisión.
Dar a un empleado nuevo la tarea de preparar facturas no es lo mismo que darle acceso a la cuenta bancaria y permiso para ordenar pagos desde el primer día. Primero aprende con casos simulados, después trabaja con límites, y solo cuando el proceso está comprobado recibe más responsabilidad. Con un agente de IA debería ocurrir lo mismo.
Cinco condiciones antes de poner un agente a trabajar
No hace falta renunciar a los agentes. Hace falta empezar con un uso que se pueda controlar.
- Un entorno que no sea el trabajo real: usar una copia de prueba y datos ficticios o anonimizados antes de tocar información de clientes.
- Permisos mínimos: dar acceso solo a las aplicaciones, carpetas y páginas imprescindibles para una tarea concreta.
- Confirmación humana: al principio, enviar un correo, modificar una ficha, publicar o borrar debe requerir validación explícita.
- Registro y parada: saber qué hizo el agente, quién responde por el proceso y cómo detenerlo de inmediato.
- Una prueba medible: comparar una tarea pequeña con el proceso actual por tiempo, errores, correcciones y calidad.
Qué no haría todavía
No conectaría un agente nuevo directamente a todos los sistemas de la empresa. Tampoco le daría acceso completo a una bandeja de entrada, a documentos de clientes o a herramientas de pago solo para comprobar si es capaz. Eso es convertir a la empresa en el entorno de prueba.
Tampoco bloquearía toda automatización por miedo. Resumir reuniones, preparar borradores, clasificar información no sensible o buscar respuestas dentro de una base documental limitada son usos valiosos y de menor riesgo. La clave es que el nivel de control crezca a la vez que crece la capacidad de actuar.
El coste de esperar demasiado
No se trata de correr sin pensar. Se trata de no dejar que la búsqueda de una solución perfecta impida aprender. Una empresa que empieza por una prueba pequeña descubre qué datos necesita, dónde fallan las instrucciones, qué revisión humana conserva y qué merece automatizar después.
Mientras tanto, otras empresas pueden estar formando a su equipo y acumulando experiencia en procesos sencillos. El paso sensato no es dar acceso total: es empezar a aprender con límites claros, medir y ampliar solo cuando funciona.
Lo que está confirmado y lo que sigue abierto
Está confirmado que Anthropic ha descrito cuatro incidentes, una configuración errónea en el entorno de evaluación y una revisión ampliada de sus registros. Está confirmado también que Reuters recogió una ampliación de la investigación sobre comunicaciones no autorizadas de agentes de OpenAI en varios sitios.
No está terminado el análisis independiente encargado por Anthropic. Tampoco conocemos públicamente todos los detalles técnicos ni el alcance completo de los casos de OpenAI. Por eso la conclusión responsable no es afirmar que los agentes sean incontrolables. La conclusión es que un proceso con agente necesita controles operativos antes de entrar en producción.