Seguridad de agentes de IA empresariales: qué comprobar antes de activarlos

La seguridad de un Met no se decide por una etiqueta. Se decide por el límite entre lo que puede leer, lo que puede hacer y lo que una persona debe aprobar. Antes de conectar un canal, CRM, ERP o pasarela, hace falta hacer ese límite visible y probarlo con un caso real.

NIST propone gestionar riesgos de IA de forma continua mediante Govern, Map, Measure y Manage. Úsalas como estructura para evaluar un flujo, no como certificación. OWASP también advierte que la prompt injection puede alterar el comportamiento de un modelo: una respuesta útil no prueba que sea seguro autorizar una acción.

El mínimo que debes exigir en una demostración

Pregunta	Evidencia que debes pedir	Qué está publicado para Meteor
¿Qué puede ver y hacer?	Datos, herramientas, operaciones y credenciales por Met.	La página para desarrolladores describe llaves con alcances granulares y un catálogo MCP filtrado por alcance.
¿Quién administra el acceso?	Alta, baja, rotación y revocación de usuarios, llaves y tokens.	Los Términos asignan al cliente la gestión de usuarios, roles, permisos y revocación oportuna.
¿Cómo se protege el dato?	Alcance, retención, subprocesadores, eliminación e incidentes.	La Política de Privacidad publica cifrado en tránsito y reposo de datos sensibles, controles de acceso, MFA para personal crítico, auditoría y respuesta a incidentes.
¿Qué acciones siguen siendo humanas?	El momento de aprobación, escalamiento y excepción por flujo.	Las fichas publican límites. SIESA, por ejemplo, consulta datos pero no crea pedidos, pagos ni documentos.
¿Cómo se investiga un incidente?	Responsable, aviso, evidencia y contención.	Los Términos publican aviso al cliente dentro de 72 horas tras confirmar un incidente de seguridad que afecte datos personales.

La tabla separa lo que debes comprobar de lo que Meteor publica hoy. Si tu caso necesita un control no descrito, conviértelo en requisito de implementación antes de habilitar la acción.

Cuatro decisiones antes de activar un Met

1. Delimita la tarea, no solo el canal

“Atender WhatsApp” es demasiado amplio. Define qué puede resolver el Met, qué datos necesita y qué debe escalar. Un Met de ventas puede calificar y dejar contexto en CRM; una negociación de precio, un descuento excepcional o una condición contractual debe llegar a la persona con esa facultad.

Lo mismo aplica a operación. Si el proceso usa SIESA, el alcance publicado es consulta de stock, precio, cartera, cupo o pedidos. No conviertas una consulta en una promesa de crear pedidos o registrar pagos. Ese límite es una decisión de seguridad y de operación.

2. Entrega permisos mínimos y separa credenciales

No reutilices una llave que pueda hacer más trabajo del que necesita el flujo. Documenta qué identidad usa cada conector, qué alcance tiene, quién la creó, cuándo se revisa y cómo se revoca. La documentación de Meteor presenta llaves de API y catálogo MCP con alcances; utilízalos para reducir la superficie del Met que ejecuta el caso.

La responsabilidad es compartida. Los Términos publicados indican que el cliente administra usuarios, roles, permisos, revocación de personal desvinculado y permisos concedidos a integraciones. El proveedor no puede decidir por ti qué empleado debe aprobar una excepción.

3. Diseña una aprobación donde el daño sería alto

La aprobación debe aparecer antes de publicar, comprometer gasto, cambiar una condición comercial, exponer un dato sensible o ejecutar una acción difícil de revertir. Los Mets de marketing preparan contenido y pauta, pero el equipo aprueba antes de publicar o gastar. En ventas por WhatsApp, el pago se procesa en Mercado Pago, no en Meteor ni en el chat.

Prueba también la toma humana: pide hablar con una persona, introduce un dato contradictorio y propone una excepción. La prueba sirve si el Met transfiere el caso con contexto, no si solo responde bien cuando todo está previsto.

4. Trata entradas y conocimiento como material no confiable

Una página web, un PDF o el mensaje de un cliente puede traer instrucciones que no pertenecen al flujo. OWASP explica que las técnicas de conocimiento recuperado no eliminan por completo el riesgo de prompt injection. Limita fuentes conectadas, revisa cambios, prueba mensajes adversos y mantén una persona antes de acciones sensibles.

No es una acusación contra un proveedor ni una promesa de inmunidad. Es el criterio para no usar un texto persuasivo como autorización de acceso o de ejecución.

Qué puede afirmarse de Meteor, y qué no

Los documentos públicos de Meteor describen cifrado en tránsito y reposo de datos sensibles, controles de acceso basados en roles y mínimo privilegio, MFA para personal con acceso a sistemas críticos, registros de auditoría y respuesta a incidentes. También indican que los datos de clientes no se usan para entrenar modelos generales sin autorización escrita y que los incidentes confirmados que afecten datos personales se comunican al cliente según el plazo publicado en los Términos.

Eso no equivale a decir que Meteor sea infalible, certificado o apto para toda regulación. La propia Política de Privacidad dice que ningún sistema es completamente seguro. Para un caso regulado, documenta también la base legal, los datos sensibles, las autorizaciones y el control humano que exige tu sector.

Lista de salida para una activación responsable

1. Caso de uso, canales y tareas que el Met puede ejecutar.
2. Datos, sistemas y credenciales a los que accede, con alcance mínimo y responsable.
3. Decisiones, gastos o escrituras que requieren aprobación humana.
4. Pruebas de escalamiento, revocación, datos contradictorios y entradas adversas.
5. Retención, eliminación, subprocesadores y contacto para incidentes.

Si falta una respuesta, no la compenses con un prompt más largo. Reduce el alcance hasta que la acción pueda explicarse, aprobarse y revisarse.