Diagnóstico de seguridad de agente de IA: su puntuación de riesgo en 20 preguntas

Cómo usarlo

Responda a las veinte preguntas para el agente que usa, ya sea un asistente personal, un agente de código, un flujo de automatización o un agente que controla el navegador. La puntuación se calcula con cada respuesta, sin enviar nada: sus respuestas se quedan en su navegador y desaparecen al cerrar la página.

• Sí: la protección está en su sitio y la ha comprobado.
• No o No sé: ambas cuentan como riesgo. No saber si el agente puede lanzar un comando sin preguntar ya es una brecha.
• No aplica: solo se ofrece cuando la pregunta puede no aplicarse (sin mensajería, sin servidor MCP, sin interfaz expuesta…). No cuenta.

El resultado da una puntuación de riesgo sobre 100 (0 = todas las protecciones en su sitio), un nivel y la lista de correcciones, de la más importante a la menos, con un enlace a la guía o la definición útil cuando existen en el sitio.

El método: 20 protecciones ponderadas

Cada pregunta vale un número de puntos; el total es 100. La puntuación suma los puntos de las protecciones ausentes o desconocidas. Los pesos son una decisión editorial: cuanto más evita una medida daños graves e irreversibles, más pesa. Las seis de más peso:

• 8 — Ejecute el agente en un contenedor, una máquina virtual o una cuenta de sistema dedicada, sin acceso a su sesión principal.
• 8 — Active la validación de comandos; autorice de oficio solo los comandos de solo lectura.
• 7 — Limite el agente a una carpeta de trabajo; nunca su carpeta personal completa, sus claves SSH ni sus copias de seguridad.
• 7 — No exponga el panel del agente a Internet: escucha en localhost, acceso por VPN o túnel autenticado.
• 7 — Exija confirmación humana para todo lo que no tiene vuelta atrás: borrado, envío, pago, publicación.
• 7 — Trate todo contenido leído como un dato, nunca como una orden: consigna explícita, separación de herramientas de lectura y de acción, validación antes de cualquier acción provocada por un contenido externo.

El nivel sigue tres tramos: de 0 a 20, riesgo bajo; de 21 a 50, riesgo moderado; por encima de 50, riesgo alto. Las preguntas cubren cinco familias: el aislamiento (entorno aislado, carpetas, red, exposición), las acciones (validación con un humano en el bucle, inyección de prompt, mensajería), los secretos y datos (mínimo privilegio, claves dedicadas, modelo local), las extensiones (servidores MCP, skills) y la supervisión (registros, actualizaciones, copias, parada de emergencia).

Por qué estas protecciones

Un agente de IA no es un simple chatbot: actúa. Lee archivos, lanza comandos, envía mensajes, llama a servicios con sus claves. El riesgo principal no viene de una IA malintencionada sino de dos causas muy corrientes: un error de interpretación (el agente borra la carpeta equivocada) y una instrucción oculta en un contenido que lee (una página web, un correo o un documento que le pide enviar sus archivos a otro sitio). La segunda, la inyección de prompt, no tiene hoy una defensa completa: por eso la mayoría de las preguntas tratan de limitar los daños más que de prevenirlos.

El peligro máximo aparece cuando se juntan tres condiciones: el agente accede a datos privados, lee contenidos externos y puede comunicarse hacia fuera. Eliminar una sola de las tres corta la cadena de la exfiltración de datos. Las preguntas sobre la red saliente, la mensajería y las carpetas sirven para eso. Coinciden con los riesgos descritos por el OWASP Top 10 for LLM Applications 2025: inyección de prompt, divulgación de información sensible, cadena de suministro, autonomía excesiva y consumo sin límites.

Las extensiones forman la cadena de suministro del agente: un servidor MCP o un skill instalado sin revisión puede contener instrucciones o código que se ejecutan con sus permisos. La guía Elegir un servidor MCP explica cómo elegir. Para una puesta en marcha paso a paso, vea Proteger un agente.

Los límites del diagnóstico

• Es una autoevaluación. La puntuación vale lo que valen sus respuestas; no sustituye una auditoría de seguridad ni una prueba de intrusión.
• Los pesos son decisiones. Un agente que solo toca una carpeta de borradores no tiene lo mismo en juego que uno que paga facturas: lea el resultado según lo que pueda romper.
• Una puntuación baja no es una garantía. Ninguna combinación de ajustes hace a un agente inmune a la inyección de prompt; reduce sus consecuencias.
• Repítalo. Tras cada nueva extensión, nuevo acceso o cambio de modelo, el perfil de riesgo cambia. Método revisado el 25 de octubre de 2026.