lo que vas a poder hacer
entregable · lo que produces
Una referencia de una página para tu escritorio: tres niveles de permisos, cuatro niveles de frecuencia de preguntas, cuatro escenarios de negocio con su combinación correcta y la lista que mantiene los complementos malos fuera de tu máquina. Al terminar, esos valores viven en el archivo iniciado en el módulo 1 para que tu agente siempre arranque prudente.
Dos ajustes deciden qué puede hacer tu agente en el negocio y casi todo tutorial los trata como uno. No son uno.
Uno es un muro que impone tu equipo. El otro es una promesa del agente sobre con qué frecuencia te consulta.
Los muros aguantan. Las promesas, la mayoría de los días.
El primer ajuste es el nivel de permisos. Qué puede tocar tu agente. Solo mirar. Cambiar archivos en esta carpeta. O hacerlo todo, en cualquier parte.
El segundo es el nivel de aprobación. Con qué frecuencia se detiene a preguntar antes de actuar. Preguntar siempre. En lo complicado. Solo si falla algo. O nunca.
Pon los permisos en "solo mirar" y el agente no podrá cambiar un archivo, le escribas lo que le escribas, porque el equipo lo rechaza por ti. El nivel de aprobación es solo cortesía y un agente hablador puede actuar igualmente.
Todo lo que no puedas permitirte perder se protege con el muro, no con la cortesía. Ese es todo el módulo.
Los tres niveles de permisos
Solo mirar. Lee y no puede cambiar, borrar ni guardar nada. Empieza aquí cada tarea nueva. Pídele los temas de las últimas diez notas de reunión y obtendrás un resumen en el chat con las notas intactas.
Cambiar solo esta carpeta. Lee y edita dentro de la carpeta de proyecto en la que estás y nada fuera. Descargas, escritorio y carpetas de otros clientes quedan a salvo. Dirígelo a la carpeta del boletín y reescribirá un borrador y actualizará tu documento de voz sin poner nada más en riesgo.
Es tu ajuste habitual porque da bordes a cada error. Una mala reescritura dentro de una carpeta cuesta una tarde. La misma sin límites de carpeta cuesta una semana.
Puede hacerlo todo. Lee, cambia, borra y ejecuta programas en cualquier parte de tu equipo. El nombre es honesto y este nivel está detrás de todas las historias de desastre de abajo. El trabajo de negocio nunca lo necesita. Si un tutorial te dice que lo uses, se equivoca.
Los cuatro niveles de frecuencia de preguntas
Preguntar casi todo. Lento, pero seguro. Para trabajo que no puedes permitirte estropear.
Preguntar solo si algo falla. Trabaja solo y se detiene si algo se rompe. Bueno para trabajo habitual.
Preguntar solo ante decisiones reales. Rápido. Solo se detiene si necesita una decisión tuya de verdad. Para tareas en las que confías.
No preguntar nunca. Nunca se detiene. Este nivel se combina con "puede hacerlo todo" en cada desastre público. Nunca uses ambos juntos. Nunca.
La receta para el desastre
Una combinación ha borrado el trabajo de personas: "puede hacerlo todo" más "no preguntar nunca", en su equipo principal.
Las historias públicas comparten un patrón. Máximo permiso, no preguntar nunca y todo el poder de su propia sesión. Después una petición razonable ("borra los archivos innecesarios del proyecto") escapó de la carpeta y empezó a borrar por todo el disco. Cientos de gigabytes desaparecidos en segundos, más de una vez: fotos familiares, software pagado y meses de trabajo de clientes. No en la papelera. Desaparecidos.
Observa lo que no hizo el agente. No se rebeló, ni entendió mal el lenguaje, ni necesitó un modelo más inteligente para comportarse. Hizo lo que le dijeron, a una escala que nadie había delimitado con un muro.
La regla: nunca combines "puede hacerlo todo" con "no preguntar nunca". Ni una sola vez ni porque un tutorial prometa velocidad.
La opción peligrosa que debes vigilar
Algunos agentes tienen un flag de atajo que desactiva sin avisar tus ajustes seguros, incluso los que escribiste tú. Parece práctico y así acabó gente cuidadosa en esas historias. Ninguna tarea de negocio lo necesita. El atajo que debes evitar en tu agente se nombra en la sección de configuración de abajo.
Qué acciones necesitan realmente tu aprobación
Has oído "mantén siempre a una persona en el bucle". Suena responsable y te deja menos seguro. Un agente que pregunta por todo es una máquina que vigilas, y nadie vigila mucho tiempo. En la tercera semana, por agotamiento, lo pones todo en "no preguntar nunca" y ya no hay compuertas. Una regla con la que no puedes vivir se incumple en el peor momento.
Clasifica el trabajo. Cada acción cae en uno de dos grupos.
Lo que puedes deshacer. Un borrador mal reescrito. Un archivo renombrado. Un resumen que no captó la idea. Como mucho una tarde, y la instantánea de git del módulo 1 deshace casi todo en segundos. Deja actuar al agente en esto.
Lo que no puedes deshacer. Un correo que salió. Un post publicado. Dinero que se movió. Un cliente que leyó algo erróneo. Un archivo borrado sin instantánea. Esto te necesita antes, porque no hay después.
La compuerta va en las acciones irreversibles, proporcionada al costo del error. Todo lo demás sigue.
Ahora el matiz, porque oirás lo contrario. Ya hay agentes de negocio totalmente autónomos en uso público sin una persona en cada acción. El agente de negocio de Meta responde a clientes en WhatsApp, Messenger e Instagram a todas horas. Las pujas inteligentes de Google fijan ofertas en subastas publicitarias reales miles de veces al día mientras duermes.
Tres cosas los hacen seguros y ninguna es un modelo mejor. La plataforma autorizó al agente a actuar allí. Está encerrado en un trabajo estrecho sin ruta a nada más. Y la persona conserva el objetivo, el límite de gasto y el interruptor de apagado. Una puja puede ser superada y una respuesta puede ampliarse después, así que ninguno llega a una acción permanentemente irrecuperable.
Tu agente en tu máquina no tiene ese recinto. Tú eres la plataforma: los permisos son tus muros, la aprobación tus puntos de control y el archivo de configuración donde dejas ambos por escrito.
Ese detalle decide si algo de esto funciona. La compuerta debe vivir en un ajuste, no en una frase. "Por favor, pregúntame antes de borrar nada" en el chat es una promesa que se cumple hasta que una tarea larga o una petición mal redactada la hace olvidar. Un muro no olvida: saca lo importante de las instrucciones y llévalo a la configuración.
Una última pieza, la que se omite. Dale al agente un lugar donde parar. Dile que "no estoy seguro, esto es lo que encontré, tú decides" es una respuesta bienvenida. Un agente sin permiso para detenerse adivinará con seguridad, porque terminar es el único movimiento que le dejaste.
Las cuatro combinaciones para tu trabajo real
El centro de tu referencia rápida. Cuatro tipos de trabajo y lo que justifica cada uno.
| El trabajo | Ajustes | Por qué esta combinación |
|---|---|---|
| Lectura e investigación: resumir notas, leer un informe, extraer temas del último trimestre | Solo mirar, preguntar solo si algo falla | Nada puede cambiar: el muro hace todo el trabajo. |
| Redacción dentro de un proyecto: boletín, propuesta, documento de cliente | Cambiar solo esta carpeta, preguntar solo si algo falla | Lo peor es un mal borrador en una carpeta que restauras en diez segundos. |
| Trabajo masivo con archivos: renombrar, mover, ordenar, limpiar | Cambiar solo esta carpeta, preguntar casi todo | El mismo patrón de las historias de borrado. Baja la velocidad. |
| Cualquier cosa que envíe, publique, gaste o se presente oficialmente | Cambiar solo esta carpeta, preguntar casi todo y tú pulsas el botón final | La acción sale de tu máquina. No hay vuelta atrás. |
Los permisos apenas cambian en esa tabla, porque "cambiar solo esta carpeta" casi siempre es correcto. Cambia con qué frecuencia estás presente, según se pueda deshacer el error.
Lo que marca la diferencia: los complementos pueden ser peligrosos
Puedes ampliar tu agente con complementos: pequeños paquetes escritos por otros, a menudo llamados skills o plugins, que instalas desde una tienda para darle capacidades. Algunos son muy útiles. Otros son trampas. Un complemento no es solo texto como tus notas. Puede llevar programas reales que se ejecutan al instalarlo.
Así, un complemento pasa de largo ante ambos ajustes. Configuraste los permisos del agente. El código del complemento se ejecuta como tú.
A principios de 2026, una tienda popular tenía 2,857 complementos y 341 eran directamente dañinos. Dos semanas después superaba los 10,700 y los dañinos habían subido a 824. La misma tienda y la misma instalación con un clic que ofrecen ya todos los agentes.
Los trucos se repiten en todas partes: apréndelos una vez.
- Requisitos falsos. Pide instalar primero una "ayuda necesaria". Esa ayuda es el malware.
- Archivos bloqueados. Un comprimido con contraseña que el escáner de la tienda no puede leer y se abre en tu máquina al instalar.
- Scripts ofuscados. Un muro de código ilegible que se ejecuta al instalar y hace quién sabe qué.
- Robo de contraseñas y claves. Código que lee tus contraseñas guardadas, accesos y claves y los envía fuera, o abre una puerta secreta al atacante.
Toma esas cifras como muestra del problema, no como un censo perfecto. Una tienda que crece así nunca se analiza por completo y los mejor escondidos son los que nadie cuenta. Una tienda de un clic que crece rápido es una línea de suministro, y las líneas de suministro se contaminan.
La lista previa a la instalación
Guarda esto en tu referencia rápida y aplícalo antes de instalar cualquier complemento, en cualquier agente:
- ¿Solo da instrucciones o ejecuta un programa? Solo texto implica poco riesgo. Si ejecuta algo, sigue comprobando.
- ¿Puedes leer qué hace? Un archivo bloqueado o código ofuscado que no puedes leer es un no.
- ¿Pide poderes que no debería necesitar? Un complemento de escritura que quiere internet o cambiar archivos fuera del proyecto es una señal de alerta.
- ¿Pide instalar otra cosa primero? Ahí suele esconderse el malware. Comprueba que sea un paquete conocido y fiable.
- Instálalo primero en un modo seguro. Pruébalo con "solo mirar" o "cambiar solo esta carpeta", nunca con "puede hacerlo todo".
Instalar un complemento es una acción irreversible disfrazada de reversible. Desinstalar quita el complemento, no lo que ya hizo al entrar. Por eso se comprueba antes.
El módulo 8 profundiza en elegir y publicar complementos. Esta lista es el cinturón de seguridad que llevas a él.
La regla para trabajo regulado
Otra protección, sobre confianza y no sobre borrados. Tu agente a veces inventa cosas, y más en unos temas que en otros. En preguntas generales la tasa de hechos inventados es baja. En cuestiones legales es varias veces mayor.
En 2026, tribunales han sancionado a despachos por presentar escritos con citas inventadas por una IA. Empresas financieras han perdido grandes sumas al actuar sobre previsiones de IA fabricadas. Por eso quienes operan muchos agentes mantienen un experto humano contratado: un agente dio una vez un consejo seguro y erróneo y una persona lo detectó.
Es el grupo irreversible con otro disfraz. No puedes deshacer la presentación de un escrito, una operación financiera ni lo que ya leyó un paciente.
La regla: si tu trabajo afecta a derecho, dinero o salud, el agente redacta y una persona firma. Lee cada palabra antes de que salga de tus manos y nunca ejecutes esas tareas sin supervisión mientras duermes. Esto no te frena. Conserva los beneficios.
Qué va en tu archivo de configuración
Abre el archivo del módulo 1 y guarda los valores seguros para que el agente arranque siempre prudente. Trasladas las compuertas de las buenas intenciones a un lugar que lee el equipo. El archivo y los términos cambian por agente: usa tu bloque.
Este agente alterna con una tecla entre Normal, Plan y Always-approve. Plan es seguro para dejarlo pensar porque redacta cambios sin aplicarlos. Always-approve es rápido y arriesgado: trátalo como "no preguntar nunca" y úsalo solo donde un error no pueda dañarte. Es nuevo y cambia a menudo: comprueba los nombres actuales de los modos antes de depender de ellos.
El único mecanismo para deshacer que tienes
El módulo 1 te pidió ejecutar dos comandos breves de git para crear una instantánea del "antes". Algunos se lo saltaron. Hazlo ahora.
Tu agente no tiene botón de deshacer. No hay Editar, Deshacer y en muchas historias tampoco había papelera. La instantánea es lo único que permite decir "déjalo como estaba hace una hora".
También decide a qué grupo pertenece una acción. Con una instantánea reciente, una mala reescritura es reversible y el agente puede ir rápido. Sin ella, es permanente y debes endurecer todos los ajustes para compensarlo.
Diez segundos. La velocidad más barata que comprarás jamás.
Qué sigue
En el módulo 3 construyes el archivo que enseña al agente quién eres, a quién sirves y cómo escribes. La configuración guardada aquí lo hace arrancar prudente. El siguiente módulo lo hace arrancar informado.
recursos y referencias
// documentación oficial, herramientas e hilos que merece la pena guardar
Auditoría de seguridad: complementos maliciosos en un marketplace públicoUn análisis de una tienda popular que encontró cientos de complementos dañinos. Los trucos usados son los que detectará tu lista.https://www.koi.ai/blog/clawhavoc-341-malicious-clawedbot-skills-found-by-the-bot-they-were-targetingMeta Business AgentEl anuncio de Meta de agentes de negocio que responden automáticamente en WhatsApp, Messenger e Instagram. La prueba de agentes autorizados sin una persona en cada respuesta.https://about.fb.com/news/2026/06/meta-business-agent/Google Ads Smart BiddingLa documentación de Google sobre pujas que fijan importes automáticamente en subastas reales, dentro de objetivos y límites humanos. La segunda prueba de autonomía delimitada.https://support.google.com/google-ads/answer/7065882