Seguridad de los agentes

Un chatbot que solo conversa puede avergonzarte. Un agente que puede enviar correos, editar tu CRM e iniciar sesión en sitios web puede causar un daño real, y seguirá las instrucciones de cualquiera que logre poner texto delante de él. Las reglas de abajo vienen de los constructores de GabAI y de los grupos más amplios de shlujim en 2026, junto con los incidentes que les enseñaron. Se aplican igual a los agentes alojados como Muse o Instinct (Agentes de IA personales).

1. Quita la capacidad, no te limites a prohibirla

La regla del administrador de GabAI: "No le digas al agente que no haga algo; no le des la capacidad". Una instrucción en un prompt se puede olvidar o ser anulada por algo que el agente lee; un permiso que el agente no tiene, no.

Por qué el grupo la adoptó:

• En mayo de 2026, el agente de un miembro, que se había alejado de su configuración por defecto, envió por correo una solicitud de función a una empresa de software externa en su nombre. Estaba bien escrita y nadie la había pedido.
• Otro agente mantuvo una conversación completa con un contratista y le dijo que el Beit Jabad estaba exento de impuestos.
• Un agente alojado envió mensajes de texto de minián a las 2 a. m. sin preguntar. Otro abrió chats de servicio al cliente en Amazon durante 72 horas seguidas hasta que marcaron la cuenta.

Los valores por defecto de GabAI siguen la regla: el agente solo lee los chats que registraste, responde solo cuando lo etiquetan y no tiene capacidad de enviar correos. Cuando un miembro necesitó un límite firme, su proveedor lo incorporó en el código en lugar de en las instrucciones.

Empieza toda conexión nueva en modo de solo lectura. Agrega acceso de escritura una pieza a la vez, después de haber visto que funciona.

2. Borrador primero, y envía tú mismo

Para correos, mensajes de texto, publicaciones y cambios en el CRM, la configuración más segura es un agente que prepara y una persona que presiona enviar. Quien administra el grupo de shlujot, octubre de 2026: "Solo le permitiría hacer un borrador", y luego revisarlo en Gmail y enviarlo. El administrador de GabAI maneja su propio agente de la misma manera: puede leer todo su correo y escribir borradores, pero nunca enviar sin supervisión.

Cuando una herramienta puede enviar por sí sola, dilo por escrito: "Muéstrame el borrador y espera mi visto bueno. No lo envíes". Un shliaj que le pidió a ChatGPT que diseñara un correo de prueba en el Communicator de ChabadOne lo vio enviarse en 45 segundos sin esperar.

Con el dinero, la norma de trabajo en los grupos era solo lectura o solo borrador, con un "confirmo" explícito antes de escribir cualquier cosa en los libros. Consulta Agentes de contabilidad.

3. Dale al agente su propia cuenta de correo, dentro de tu propia organización

En junio de 2026, un miembro creó una cuenta gratuita de Gmail solo para su agente y le reenvió correos para que redactara respuestas. Google deshabilitó la cuenta. Las políticas de Google dicen que deshabilita las cuentas usadas para eludir sus reglas con varias cuentas, y prohíben usar sus servicios para enviar mensajes automatizados (ayuda de la Cuenta de Google); una bandeja de entrada que solo toca un programa se ve así. Antes, en febrero de 2026, Google suspendió cuentas cuyos dueños habían hecho pasar al agente OpenClaw por el inicio de sesión Antigravity de Google, y según se informó algunos también perdieron el acceso a Gmail.

Lo que recomienda el grupo en cambio:

• Una cuenta de rol en tu propio Google Workspace (por ejemplo, una dirección "asistente" en el dominio de tu Beit Jabad). Tienes una consola de administración y una vía real de soporte si algo se marca. La cuenta de Workspace de un miembro fue marcada y restablecida en un par de horas después de una apelación.
• Un servicio de correo hecho para agentes si no tienes Workspace. Los constructores señalaron AgentMail, cuyo plan gratuito el 2026-10-21 era de tres bandejas de entrada y 3,000 correos al mes (AgentMail).
• Una cuenta de servicio de Google si el agente solo necesita Drive, Docs y Sheets. No tiene bandeja de entrada, así que no sirve para correo.

Si puedes, mantén dos direcciones separadas: una que el agente use con la comunidad y otra distinta que reciba los inicios de sesión de cuentas y los restablecimientos de contraseña, y que el agente nunca debe ver.

4. Guarda las contraseñas en una bóveda, no en el chat

Nunca pegues una contraseña, un número de tarjeta ni una clave de API en un chat con un agente. Si ya lo hiciste, trátala como filtrada y cámbiala.

• Bóvedas de credenciales. NanoClaw y GabAI vienen con la OneCLI Agent Vault: las claves permanecen en el host y se agregan a las solicitudes salientes del agente en tránsito, de modo que el agente nunca las tiene (documentación de credenciales de NanoClaw). OneCLI es de código abierto y también ofrece una versión alojada con un plan gratuito (OneCLI). IronClaw, de NEAR AI, adopta un enfoque similar con una bóveda cifrada.
• Lo que una bóveda no hace. En abril de 2026, el grupo de GabAI descubrió que OneCLI funciona con servicios que reciben una clave en la solicitud (la mayoría de las API), pero no con formularios de inicio de sesión de sitios web como la página de acceso de una tienda. Para claves muy sensibles, el consejo de un miembro fue agregarlas por SSH para que nunca pasen por una conversación con Claude.
• Para sitios web sin API, inicia sesión tú una vez en el navegador del agente y deja que reutilice la sesión guardada, en lugar de entregarle la contraseña. Dale al agente su propio usuario limitado donde el sitio lo permita; un shliaj creó un usuario aparte de Little Green Light con permisos restringidos para su agente. Espera que la sesión caduque.
• No dejes que un agente pelee con una verificación de "soy humano". El inicio de sesión de ChabadOne tiene una; está ahí a propósito. Haz clic tú mismo.

5. Nunca pegues registros en un grupo

En julio de 2026, un miembro pegó en un chat de grupo una lista de procesos del servidor y la salida de los registros para pedir ayuda. Contenía credenciales y tokens de la nube que estaban activos. Antes de compartir ps, docker logs, .env o cualquier volcado de errores, quita las claves, los tokens, las direcciones de correo y los números de teléfono, o pídele a Claude Code en el host que lo redacte por ti. Mejor aún: deja que Claude Code haga el diagnóstico en el servidor, que es lo que de todos modos piden los administradores del grupo.

Lo mismo vale para las listas de donantes y los datos de los miembros. Un chat de grupo con un agente adentro no es privado: todos en el grupo pueden ver todo lo que el agente dice allí.

6. Da por hecho que alguien intentará engañarlo

La inyección de prompts consiste en esconder instrucciones dentro del contenido que lee el agente: un correo, una página web, un PDF, un mensaje en un grupo. El agente no puede distinguir de forma fiable tus instrucciones de las de un atacante. Encabeza la lista de OWASP de riesgos de las aplicaciones de IA (OWASP LLM01), y el modelo de seguridad de NanoClaw parte de la suposición de que el agente será víctima de una inyección (modelo de seguridad de NanoClaw).

Lo que eso significa en la práctica:

• Un agente que lee tu correo puede ser dirigido por cualquiera que te escriba. El administrador de GabAI: el acceso al correo "es otra superficie de ataque, es una superficie de inyección y es una vía de exfiltración". Nada en GabAI limpia el contenido de los correos antes de que el agente los lea.
• Mantén separados los agentes que solo consultan de los agentes que pueden actuar. Un agente que lee la bandeja de entrada no debería ser el que pueda enviar o pagar.
• Pon un paso de aprobación en todo lo que salga del servidor: enviar, publicar, comprar, eliminar.
• Un agente que se niega a revelar un secreto igual puede ser convencido si el secreto está en su contexto. En abril de 2026, un agente se negó correctamente a mostrar su archivo de configuración cuando se lo pidieron en un grupo; los miembros señalaron que una persona insistente aún podría desgastarlo. Mantén los secretos fuera de su alcance por completo.
• Pruébalo. El consejo del administrador para un agente compartido: "Prueba con un amigo y pídele que intente exfiltrar información privada".

7. Vigila la cadena de suministro

Los agentes instalan código, y también lo hacen las herramientas que los rodean.

• El 2026-03-24, dos versiones de LiteLLM, una biblioteca popular de enrutamiento de IA, se publicaron con malware que robaba claves de la nube y de API (Cloud Security Alliance). Fija las versiones de todo lo que instales.
• En mayo de 2026, una falla crítica en Baileys, la biblioteca de WhatsApp detrás de la mayoría de los agentes de WhatsApp autoalojados, permitía a los atacantes falsificar mensajes; se corrigió en 7.0.0-rc12 y 6.7.22 (aviso).
• Las habilidades (skills) que un agente escribe para sí mismo, o que instalas desde una biblioteca, son código. Lee las que tocan el correo, el dinero o los contactos.

Un aviso de un miembro de julio de 2026: haz una auditoría periódica. Hizo que Claude revisara toda su configuración personalizada con el nivel de esfuerzo más alto y encontró varios problemas, incluida una vulnerabilidad que su firewall casualmente ocultaba. Revisa sus recomendaciones antes de aplicarlas.

8. Cambios en el inicio de sesión de Google que conviene conocer

• Las apps que se quedan en "Testing" pierden el acceso después de una semana. Si creas tu propio proyecto de Google Cloud para un agente y dejas su pantalla de inicio de sesión en estado Testing, Google emite tokens de actualización que vencen en 7 días (documentación de OAuth de Google). A los miembros cuya conexión de Workspace se caía una y otra vez les pasaba esto. Para tu propia organización, configura la audiencia como Internal.
• Servidores MCP de Google Workspace. Google ahora ofrece conectores oficiales (servidores MCP) para Gmail, Drive, Calendar y más, en su programa Developer Preview. Cuando creas el cliente de inicio de sesión para un agente de IA, la guía de configuración de Google dice que marques "Use this client for an AI-powered agent", y las solicitudes de clientes que no lo tengan pueden ser rechazadas (guía de configuración de Google). En octubre de 2026, un miembro compartió un correo de Google que decía que la opción se exigiría desde el 11 de noviembre y que se corregiría de forma permanente al día siguiente; esas fechas no se confirmaron en las páginas públicas de Google. Se dijo que las apps que usan las API normales de Gmail y Drive no se verían afectadas.

Una pregunta abierta: ¿debería el agente decir que es una IA?

El equipo de agentes de un shliaj está configurado para no identificarse nunca como IA ante sus contactos. Otros en los grupos sintieron que quienes escriben a un Beit Jabad merecen saber cuándo les responde un bot, y algunos habían recibido mensajes de WhatsApp etiquetados como IA de otros shlujim y los encontraron desagradables. Los grupos no llegaron a una conclusión. Decide con intención en lugar de dejarlo por defecto.

Relacionado

• Agentes de IA personales, con una lista de verificación de ocho preguntas
• Alojamiento de agentes, para blindar el servidor
• GabAI, NanoClaw, Hermes Agent
• Privacidad y datos
• Automatización de WhatsApp