Guardrails: que no la embarre

Tu agente ya chatea, recuerda y navega. Antes de soltarlo, mira lo que pasó: decenas de miles de agentes quedaron expuestos en internet con las llaves adentro. Con un solo enlace malicioso robaban credenciales. Esto pasó de verdad.

Engaña a tu asistente. Le manda un mensaje, un correo o una página con una orden escondida, y el asistente la obedece creyendo que es tuya. Eso es el prompt injection.

Ninguna defensa sola alcanza. Cinco imágenes, cinco capas: portero, cuarto de visitas, caja fuerte, pedir permiso y una casa sin dirección publicada.

Nadie habla con tu agente sin estar en la lista: ese es el portero. Y lo recién llegado, una skill o un desconocido, corre en un cuarto aparte, sin acceso a toda la casa.

Las llaves viven en el Keychain, nunca en un archivo de texto. Cada llave con el alcance del mandado y su tope de gasto. Ya lo practicas desde el módulo 2.

Plata, borrar, publicar: el agente propone y tú confirmas. Y hay compuertas que no negocian: revisiones automáticas que frenan solas. El modelo propone, un script dispone.

La pasarela solo escucha dentro de tu casa. ¿Necesitas entrar desde la calle? Un pasillo privado: VPN. Jamás un puerto abierto al mundo. Así quedaron expuestas las decenas de miles.

Un dato de un negocio le llegó a la persona equivocada por compartir agente entre públicos: pusimos carriles por contacto y muros de herramientas. Y un loop quemaba tokens de madrugada: freno automático y tope de gasto.

Reinstala y rota las llaves: es más barato que confiar en algo comprometido. En la próxima clase, todo junto y en producción: un cliente real pidiendo cambios por Telegram.