El agente de IA para almacenes de Jmix obtiene permisos de escritura: seguridad y auditoría

Los desarrolladores de la plataforma Jmix han publicado la segunda parte de su artículo sobre un agente de IA para almacenes basado en Spring AI. En esta ocasión, el agente no solo puede leer datos, sino también modificarlos, y el equipo analiza cuestiones de seguridad, auditoría y trabajo con el modelo de negocio, según informa Habr.

Qué se vio en la primera parte

En la primera parte, el equipo construyó un agente de solo lectura dentro de una aplicación Jmix. El usuario formula una pregunta en lenguaje natural y el ChatClient de Spring AI ejecuta el agent loop: invoca métodos @Tool hasta reunir datos suficientes para responder.

• El agente de solo lectura de la primera parte responde a las preguntas del usuario en lenguaje natural
• Cada tool lee los datos mediante DataManager con un fetch plan explícito
• Este enfoque se mantiene casi por completo dentro del sistema de seguridad de Jmix y devuelve al modelo solo los campos necesarios
• La interfaz del agente es una vista estándar de Jmix, sin capa REST intermedia
• Los autores subrayan que un modelo sin native tool calling fiable rompe todo el esquema de funcionamiento del agente

Qué preguntas surgieron al pasar a la escritura

Cuando el agente pasó de solo leer datos a poder modificarlos, aparecieron preguntas que normalmente no abordan ni la documentación de Spring AI ni la mayoría de los tutoriales sobre agentes. ¿Con qué usuario se ejecuta realmente el tool que invoca el modelo? ¿Cómo se gestionan las transacciones si el modelo llama a varios tools seguidos? ¿Cómo se auditan las acciones iniciadas por la IA y no directamente por una persona? ¿Y cómo se consigue que el agente trabaje con el modelo de dominio de la aplicación sin enumerar a mano todas las entidades en el prompt del sistema?

Según los autores, no se trata de retoques cosméticos. Son precisamente las decisiones que separan un prototipo de demostración de una aplicación que se puede enseñar al cliente, es decir, de un sistema listo para funcionar en un almacén real.

Qué significa esto

El paso de un agente de solo lectura a uno con permisos de escritura demuestra que lo más complejo al construir agentes de IA para aplicaciones empresariales no es que el modelo invoque herramientas. Lo difícil son la identidad, la integridad transaccional y la auditoría: sin resolverlas, dar al modelo permiso para modificar datos simplemente no es seguro.

Preguntas frecuentes

¿Qué sabía hacer el agente de IA de la primera parte del artículo?

Era de solo lectura: respondía en lenguaje natural a las preguntas del usuario sobre el almacén, invocaba métodos @Tool a través del ChatClient de Spring AI y se mantenía dentro del sistema de seguridad de Jmix.

¿Qué cuestiones analiza la segunda parte del artículo?

Con qué usuario se ejecuta el tool, cómo gestionar las transacciones en una cadena de llamadas, cómo auditar las acciones iniciadas por el modelo y cómo trabajar con el modelo de dominio sin enumerar manualmente las entidades en el prompt.