Cómo evitar que una memoria persistente del agente contamine tareas futuras

Decide qué puede persistir

Una conversación útil para completar una tarea no necesariamente debe guardarse para siempre. Define tipos permitidos de memoria, duración y ámbito: por tarea, cliente, equipo o política aprobada. Las instrucciones permanentes requieren una fuente y un responsable, no una inferencia a partir de la frecuencia con que aparecen.

Guarda origen y estado junto al contenido

Cada recuerdo conserva quién lo aportó, fecha, sistema de origen, alcance y estado de revisión. Si se importó automáticamente, marca que no está validado. No guardes una frase huérfana que parezca una regla porque la pantalla posterior no permitirá distinguirla de una decisión aprobada.

Controla quién aprueba cambios duraderos

El dueño del proceso o de la fuente confirma que la nota es válida y especifica cuándo puede aplicarse. El agente puede presentar una sugerencia o un cambio detectado; no promueve una indicación recibida por correo a memoria compartida. Las instrucciones personales de un usuario tampoco se convierten en política global sin aprobación.

Mantén versiones y una salida de emergencia

Conserva revisiones de la memoria aprobada con autor, fecha, motivo y contenido anterior. Si aparece una instrucción contaminada, permite deshabilitarla, volver a la versión previa y localizar tareas que la utilizaron. Borrar la nota sin conocer su alcance puede dejar acciones posteriores sin explicación.

Revalida la memoria para cada tarea

Al recuperar una nota, comprueba a qué cliente o proceso pertenece, si sigue vigente y si su fuente continúa autorizada. La memoria informa al razonamiento, pero no concede permisos, valida una identidad ni sustituye una consulta a la fuente de verdad cuando el dato puede haber cambiado.

Aísla memorias entre empresas y equipos

Usa compartimentos explícitos para datos de distintos clientes, departamentos o usuarios. Prueba búsquedas con nombres parecidos y solicitudes cruzadas. Un agente no debe consultar una memoria general si la tarea exige un contexto limitado a una cuenta. Si no se puede garantizar el aislamiento, desactiva esa recuperación.

Revisa los efectos antes de reanudar

Tras invalidar una memoria, lista las tareas que la leyeron y comprueba si produjo borradores, cambios o mensajes. Una persona decide si hay que corregirlos. Pausar el recuerdo no revierte automáticamente las acciones que ya ocurrieron en otros sistemas.

Prueba la contaminación como un incidente

Introduce una memoria aprobada, una nota maliciosa de origen externo y otra que pertenece a un cliente diferente. Comprueba que el agente distinga estado, fuente y alcance, y que no ejecute cambios por una memoria no aprobada. Repite la prueba cuando cambien el modelo, el almacenamiento o las reglas de recuperación.

Fuentes y documentación

• OWASP — Top 10 for Agentic Applications 2026 — Incluye el envenenamiento de memoria o contexto entre los riesgos de aplicaciones agénticas.
• OWASP — Prompt Injection — Describe cómo contenido malicioso puede alterar el comportamiento previsto del modelo; las mitigaciones reducen el impacto y no lo eliminan por completo.