Cómo controlar la identidad y el alcance cuando un agente delega trabajo

Explica por qué hace falta delegar

Define tarea, entrada requerida, resultado esperado y responsable final. No distribuyas información sensible a un agente solo porque tenga una función parecida. Si una sola herramienta o flujo satisface la necesidad, evita una cadena que añade puntos de fallo sin aportar una capacidad concreta.

Identifica emisor y receptor de forma verificable

Cada agente tiene identidad técnica y credenciales asociadas, además de un catálogo de delegaciones permitidas. El mensaje lleva ID de tarea, agente origen, destino y fecha. No aceptes el campo “from” de un texto como prueba de identidad; usa el mecanismo de autenticación definido por la plataforma.

Limita el mandato de la tarea hija

La delegación especifica qué puede leer, qué salida debe producir y qué no puede modificar. El agente hijo no hereda automáticamente todas las herramientas del coordinador. Una respuesta puede proponer una acción, pero no adquirir permiso para ejecutarla por aparecer en el contexto.

Valida la respuesta contra el contrato

Comprueba que tenga esquema esperado, ID de tarea correcto, fuentes necesarias y ninguna operación fuera del objetivo. Un JSON bien formado puede contener una instrucción maliciosa o datos incorrectos. Si la respuesta cambia destinatario, importe, sistema o alcance, el coordinador detiene el paso y solicita revisión.

Evita cadenas abiertas y delegaciones recursivas

Fija profundidad, número de tareas, duración y herramientas disponibles para cada nivel. Una delegación no crea permiso para delegar otra vez si la arquitectura no lo contempla. Detén ciclos repetidos y conserva la tarea pendiente para que una persona decida si reencaminarla o cancelarla.

Mantén la autorización en el sistema que ejecuta

Antes de escribir en CRM, correo o pagos, el sistema final verifica identidad y permisos independientes del mensaje entre agentes. No uses un agente intermediario como sustituto de la autorización del usuario. La tarea hija puede devolver un borrador y el coordinador lo presenta para aprobación.

Registra el árbol de tareas

Vincula solicitud original, delegaciones, llamadas a herramienta, salidas y decisión de persona. Conserva solo datos necesarios y protege el registro según la política. Si una tarea se detiene, la vista debe mostrar quién la inició, qué agente respondió y qué paso quedó sin ejecutar.

Ensaya un agente suplantado o una respuesta contaminada

Prueba mensajes sin identidad válida, IDs cruzados, tarea expiradas, salida fuera de esquema y una propuesta que cambia el destino. El sistema debe rechazar o detener el caso de forma visible. Una persona autoriza nuevas relaciones de confianza y revisa incidentes antes de reanudar.

Fuentes y documentación

• OWASP — Top 10 for Agentic Applications 2026 — Incluye riesgos relacionados con comunicación entre agentes y fallos en cascada.
• OWASP — Excessive Agency — Describe riesgos de funcionalidad, permisos y autonomía excesivos, incluidos sistemas de agentes colaborativos.