Puntos de aprobación humana en flujos de trabajo con agentes: qué acciones requieren uno

Qué es

Un punto de aprobación (gate) es un momento del bucle del agente en el que una acción propuesta (una llamada a una herramienta con sus argumentos) se muestra a una persona, que la permite, la deniega o la edita antes de que se ejecute. La especificación del Model Context Protocol indica que siempre debería haber una persona en el circuito con capacidad de denegar las invocaciones de herramientas, y que las aplicaciones deberían mostrar mensajes de confirmación para las operaciones. La entrada Excessive Agency de OWASP atribuye el riesgo a un exceso de funcionalidad, de permisos y de autonomía, y entre las mitigaciones incluye exigir la aprobación del usuario para las acciones de alto impacto. Los productos implementan estos puntos como políticas por herramienta; la documentación de managed agents de Anthropic, por ejemplo, describe always_allow, always_ask y un modo auto en el que el servidor evalúa cada llamada y la ejecuta, la deniega o la pausa, con la advertencia de que auto no es un punto de control humano.

Por qué importa

Si se aprueba todo manualmente, el agente resulta más lento que hacer la tarea a mano y la persona se acostumbra a pulsar «permitir» sin leer. Si no se aprueba nada, se concede el poder de enviar, pagar, borrar y desplegar a un agente que puede ser manipulado por el contenido que lee. El punto de aprobación es donde se equilibran de forma explícita la autonomía y las consecuencias.

Cómo aplicarlo

• Clasifica cada herramienta según su consecuencia: las acciones de solo lectura y las reversibles se ejecutan sin punto de aprobación; las irreversibles (borrar, enviar, publicar, pagar, fusionar), las visibles externamente y todo lo que modifique credenciales o permisos sí lo llevan.
• Aplica el punto de aprobación según los argumentos, no solo según el nombre de la herramienta: una herramienta de shell puede ser libre para listar y requerir aprobación para eliminar; una herramienta de pago puede ser libre por debajo de un importe y requerir aprobación por encima.
• Muestra la llamada exacta: herramienta, argumentos, destino y una razón de una línea dada por el agente. Un punto de aprobación que solo muestra «¿ejecutar comando?» es decorativo.
• Haz que la denegación sea informativa: devuélvela al agente como resultado de la herramienta para que replanifique en lugar de reintentar la misma llamada.
• Registra cada decisión indicando quién aprobó y qué se ejecutó; revisa el registro para detectar puntos que siempre se aprueban (candidatos a automatizarse) y denegaciones (candidatas a una herramienta más restringida).
• Es preferible eliminar una capacidad antes que someterla a aprobación si la tarea rara vez la necesita.

Trampas

Fatiga de aprobación. Puntos de aprobación que una herramienta equivalente permite eludir (un borrado con aprobación junto a un shell sin ella). Agrupar muchas acciones bajo una sola aprobación. Tratar una aprobación como consentimiento para el resto de la sesión.

Cómo leer el registro de aprobaciones

Que un punto de aprobación se apruebe siempre no lo convierte por ello en candidato a automatizarse. Los puntos de aprobación sobre acciones raras e irreversibles se aprueban casi siempre porque el agente casi siempre las propone correctamente; la tasa de aprobación refleja la frecuencia base de propuestas erróneas, no el valor del punto de aprobación. En su lugar, hazle dos preguntas al registro. ¿Es aceptable ejecutar sin supervisión la peor llamada que este punto podría dejar pasar? Si no lo es, el punto se mantiene, sea cual sea su historial. ¿Se activa el punto de aprobación en llamadas que no pueden suponer ese peor caso? Si es así, restríngelo al patrón de argumentos que sí lo supone (la ruta, el destinatario, el importe) en lugar de eliminarlo. Las denegaciones siguen siendo la señal más fuerte de que una herramienta es demasiado amplia.