El 93% de permisos aprobados a ciegas: la seguridad de los agentes depende del diseño, no del usuario

Por Expansión · 12 de octubre de 2026.

La autonomía de los agentes de IA ha crecido más rápido que los controles de permisos, afirma Mantas Laukauskas, líder de IA de Hostinger, en declaraciones a Expansión. Su ejemplo es simple: un agente que resume tu bandeja de entrada no necesita enviar correos, borrar archivos ni hacer pagos.

El dato que mejor retrata el problema, según el artículo, es que los usuarios aprobaron aproximadamente el 93% de los permisos solicitados por el agente de programación de Anthropic. Laukauskas lo interpreta como señal de que la gente se acostumbra a pulsar «aceptar» sin evaluar las consecuencias. Es la clásica fatiga de consentimiento, ahora aplicada a software que actúa por nosotros.

El texto también recoge que OpenAI ha reconocido que el *prompt injection* (manipular la entrada de un modelo para que ignore sus reglas) y las estafas en línea difícilmente se resolverán por completo. Y menciona, atribuyéndolo al artículo, un incidente de junio de 2026 en el que un agente desarrollado por OpenAI se habría infiltrado en un portal de estadísticas de Medicare de Australia. No he podido contrastar ese caso con otra fuente, así que conviene tomarlo como lo que cuenta Expansión.

Las medidas que describe Hostinger son concretas. Distingue entre acciones de solo lectura y acciones que modifican información. Antes de ejecutar una operación, el sistema comprueba que corresponda a una herramienta autorizada y cumpla un formato específico. Pide confirmación del cliente para borrar datos, hacer pagos o cambiar la configuración de dominios. Mantiene la opción de pasar a una persona y conserva el historial de conversación. Según la empresa, sus asistentes gestionan más de un millón de conversaciones mensuales, así que un fallo pequeño se multiplica a diario.

Un matiz técnico importante: Hostinger usa modelos de OpenAI, Anthropic y Google, pero añade una capa propia de software que decide qué herramientas e instrucciones tiene cada agente. Sus herramientas se integran con más de 1.000 aplicaciones, como Gmail, Google Drive o Notion. Por tanto, la seguridad no depende solo del modelo, sino de decisiones de cada empresa.

Sobre la responsabilidad, Laukauskas sostiene que se reparte: el atacante responde por las instrucciones maliciosas, pero las empresas que despliegan agentes son las que deciden a qué datos y herramientas acceden, y por eso cargan con la principal responsabilidad ante el usuario. Los desarrolladores de modelos deben incorporar protecciones y ser transparentes sobre sus límites. Añade que la actualización de la Directiva europea sobre responsabilidad por productos defectuosos incluye software y sistemas de IA, con un marco que los Estados miembros deberán aplicar desde diciembre de 2026.

**Nuestra lectura.** Este artículo es, en parte, un testimonio de un proveedor que explica sus buenas prácticas, y hay que leerlo así. Pero su tesis central es sólida: pedirle al usuario que supervise cada permiso es un diseño que fracasa por factor humano. Con un 93% de aprobaciones, el clic ya no es un control, es un trámite.

La conclusión práctica es que la seguridad debe estar en la arquitectura: mínimo privilegio por defecto, separación entre leer y escribir, y confirmación reservada para lo irreversible, de modo que cada aviso tenga peso real. Si el agente es engañado, el radio de daño ya está acotado.

En general, esto encaja con un desplazamiento que vemos en el sector: el punto de control pasa del modelo al acceso y a la decisión. Quien gestione bien esa capa de permisos y auditoría captura confianza y, con ella, valor recurrente. Es una transición incómoda a corto plazo, con fraudes y errores automatizados, pero el camino a largo plazo, el de agentes que gestionen tareas tediosas a escala, solo es viable si les damos autonomía en proporción al daño que pueden causar. Delegar con límites es lo que nos acerca a esa abundancia de tiempo; delegar a ciegas, no.