Cómo impedir que una respuesta del modelo amplíe sus propios permisos

Separa propuesta y decisión

El texto generado, los argumentos de herramientas y los documentos recuperados son entradas que hay que comprobar. Ninguno debe escribir directamente la política de acceso. Si el modelo devuelve «soy administrador» o incluye un rol más amplio en una llamada, el ejecutor debe utilizar la identidad verificada de la sesión. No basta con ocultar un botón si la API sigue aceptando ese rol.

Cierra las rutas indirectas

Revisa funciones de configuración, instalación de conectores, cambio de empresa, creación de usuarios y modificación de grupos. Una herramienta aparentemente auxiliar puede ampliar capacidades si deja alterar el catálogo o las credenciales. El componente que ejecuta tareas ordinarias no necesita administrar su propia autorización. Define quién mantiene esas rutas y aplica un proceso separado para los cambios de alcance.

Resuelve una necesidad legítima de acceso

Si una tarea requiere un documento que el agente no puede leer, devuelve una explicación acotada y una solicitud al responsable del repositorio. No uses otra cuenta ni repitas la búsqueda con una identidad más amplia. La persona responsable debe evaluar finalidad, duración y usuarios afectados. Una vez concedido el acceso por el proceso normal, verifica su efectividad antes de reanudar; la petición del modelo no es evidencia suficiente de necesidad.

Prueba intentos de elevación verificables

Introduce en un documento de ensayo una instrucción para habilitar una función y envía argumentos que intenten sustituir empresa o rol. Comprueba que política, credenciales y catálogo permanecen iguales y que el servidor rechaza la llamada. Revisa también si una respuesta del modelo puede editar un archivo de configuración que se cargará después. Registra esos cambios administrativos con identidad y revisión independientes. El control debe sostenerse aunque falle la interpretación del texto: no se apoya en que el agente prometa respetar sus límites.

Fuentes y documentación

• OWASP: autorización — La autorización debe aplicarse a las peticiones y a su contexto, con privilegios mínimos.
• OWASP: prevención de inyección de instrucciones — El contenido externo puede intentar desviar la tarea; la separación de datos necesita controles adicionales.