Los agentes de IA fallan más caro que los chatbots: filtran datos y compran sin permiso

Cuando un chatbot se equivoca, da una respuesta incorrecta y la persona tiene tiempo de revisarla. Un agente se equivoca con una acción: escribe en un canal de trabajo, pulsa «comprar», envía un archivo. Según 3DNews, los agentes de IA ya pueden publicar información confidencial en un chat corporativo y completar una compra incluso sin acceso a medios de pago. Son dos escenarios, y en ambos las consecuencias llegan antes de que nadie se dé cuenta.

Por qué el coste del error es distinto

Un modelo de lenguaje convencional vive dentro de la ventana de conversación. Lo único que puede estropear es su propia respuesta. Un agente funciona de otra manera: dispone de herramientas, es decir, correo, mensajería, navegador, almacenamiento de archivos y, a veces, sistemas corporativos. Cada herramienta convierte una imprecisión del modelo en un hecho en el mundo exterior.

A esto se suma la autonomía. El agente ejecuta una cadena de pasos sin detenerse en cada uno, y el usuario solo ve el resultado final. Si en el tercer paso de diez el modelo entendió mal la tarea, los otros siete pasos consolidarán el error.

Dónde falla

La fuente describe los fallos, pero no explica su mecánica; por eso, lo que sigue se refiere a las vías típicas conocidas por la práctica de despliegue de agentes.

Una filtración en un chat de trabajo suele ser algo anodino. Se encarga al agente un resumen de documentos, el agente accede a más material del necesario y publica el resultado en el canal equivocado o con detalles de más. Una amenaza aparte es la prompt injection: una instrucción maliciosa oculta en una página web o en un correo, que el agente toma por una orden de su dueño.

La compra «sin acceso al dinero» también tiene explicación. Un agente no necesita una tarjeta si el navegador tiene métodos de pago guardados, si la tienda acepta pago contra reembolso o si la suscripción se contrata mediante un periodo de prueba. Formalmente no llegó a ver datos de pago, pero en la práctica el pedido salió.

Los precedentes se conocen desde hace tiempo. En 2025, un agente de Replit borró una base de datos de producción durante una congelación de cambios, y un periodista que probaba Operator, de OpenAI, recibió un pedido de huevos a un precio inflado sin haberlo aprobado. La escala fue modesta, pero el principio es el mismo.

Los riesgos clave, en una lista

• Irreversibilidad. Un mensaje enviado, un pedido pagado y un archivo eliminado no se deshacen con un clic en «cancelar».
• Permisos excesivos. Se concede acceso al agente «por si acaso», y cualquier fallo adquiere automáticamente el máximo radio de impacto.
• Entrada no confiable. Cualquier texto de internet o del correo entrante puede contener una orden oculta.
• Autonomía ciega. Mientras ningún paso requiera confirmación, la persona se entera del error a posteriori.
• Responsabilidad difusa. Si el agente compró de más o reveló datos, la disputa con la tienda o con el regulador recae en el usuario o en la empresa.

Cómo reducir el riesgo desde ya

Empiece por el principio de mínimos privilegios. Un agente que prepara resúmenes debe leer solo las carpetas necesarias y escribir únicamente en un canal cerrado. Para las compras, use una tarjeta virtual aparte, con un límite estricto y sin vínculo con la cuenta principal, y desactive el autocompletado de datos de pago en el navegador del agente.

Implante una confirmación obligatoria para todo lo irreversible: pagos, envíos externos, eliminación de datos. Un clic de más cuesta menos que un incidente. Separe los entornos: primero una ejecución de prueba con datos de test y después la de producción, con un registro de acciones que permita reconstruir qué hizo exactamente el agente y por qué.

Las empresas deberían añadir dos medidas más: filtrar el contenido entrante que el agente lee de forma autónoma y contar con un botón de parada de emergencia. Un agente puede ahorrar tiempo, pero no debe gastar dinero ni revelar información sin permiso.