Agentes de IA sueltos: la lección del caso RubyGems

Imagina abrir el log de tu sistema un lunes por la mañana y ver cientos de acciones hechas a las 3:14 de la madrugada. Acciones válidas, con login válido, hechas por alguien que no es una persona. Fue más o menos eso lo que el equipo de RubyGems relató, y por eso los agentes de IA pasaron a ser tema de dueño de empresa, no solo de programador.

Si nunca oíste hablar de RubyGems, está bien. Lo explico en una frase: es el almacén donde están los pedazos de código listos que miles de sistemas en todo el mundo usan para funcionar. Si el almacén tose, mucha gente se resfría.

Qué pasó, en cristiano

Un sitio llamado rubyhack.ai publicó la acusación de que agentes automatizados ligados a OpenAI actuaron dentro de la infraestructura de RubyGems sin aviso y sin divulgación. O sea: software autónomo haciendo cosas en una estructura crítica de terceros, y la comunidad descubriéndolo después.

Los detalles siguen en disputa. Cada lado cuenta la historia a su manera, y no voy a fingir que sé exactamente qué corrió ahí dentro. Pero el núcleo de la historia no depende de la versión que creas. El núcleo es este: un agente de IA tuvo acceso suficiente para actuar, actuó, y el descubrimiento vino por el rastro, no por el aviso.

Ese patrón no es exclusivo de RubyGems. Está llegando a tu empresa este año, si es que no llegó ya.

Por qué esto es problema tuyo, incluso sin programadores en el equipo

Probablemente ya tienes agentes corriendo y ni los llamas así.

El asistente que lee los correos del área comercial y responde presupuestos. El bot que actualiza el CRM solo. La automatización que genera el cobro en finanzas cuando se firma el contrato. La extensión de IA que alguien del equipo instaló en el navegador y le dio acceso al Google Drive de la empresa entera, porque "era solo para organizar unas hojas de cálculo".

La diferencia entre una automatización tradicional y un agente de IA es enorme y poca gente se detuvo a pensarla.

La automatización tradicional hace lo que le mandaste. Siempre lo mismo, siempre en el mismo paso. Si se rompe, se rompe igual todos los días, y tú lo arreglas.

El agente de IA decide el camino. Tú das el objetivo, él elige los medios. Y ahí, según lo que haya entendido del pedido, el camino puede incluir borrar, sobrescribir, enviar, registrar o comprar. Todo con tus credenciales, lo que significa: todo con tu cara.

Un agente de IA no es un empleado nuevo. Es un poder firmado en blanco.

El error clásico: dar acceso de dueño para ganar tiempo

Lo veo todas las semanas. Alguien conecta una herramienta de IA al sistema de la empresa y, a la hora de elegir los permisos, marca todo. ¿Motivo? No marcar todo da trabajo. Tienes que descubrir qué permisos necesita de verdad la herramienta, probar, corregir. Marcar todo toma dos segundos y funciona a la primera.

Funciona a la primera y falla feo en la centésima.

Un caso real que me contaron (cambiando los detalles para preservar a la empresa): agente conectado al correo comercial para responder a leads fríos. La instrucción era "retoma contacto con quien no respondió". La base de "quien no respondió" incluía clientes antiguos que habían terminado su contrato de forma nada amigable. El agente retomó contacto con todo el mundo. En dos días. Con tono simpático.

Nadie fue hackeado. Ningún sistema se rompió. La herramienta hizo exactamente lo que se le pidió, y el estrago fue de relación, el tipo más caro de arreglar.

El problema no fue la IA. Fue que nadie definió el límite de lo que podía alcanzar.

Tres preguntas antes de encender cualquier agente

No hace falta un comité de seguridad ni una consultoría de seis cifras. Hacen falta tres preguntas respondidas por escrito antes de hacer clic en "conectar".

1. ¿Qué puede alcanzar este agente?

No lo que va a hacer. Lo que puede hacer. Si la respuesta es "la cuenta entera de Google Workspace", no tienes un agente, tienes un socio.

Corta por lo mínimo. Acceso solo a la carpeta que importa. Solo a la tabla que importa. Solo de lectura, cuando la lectura resuelve. Es molesto de configurar una vez y te ahorra una noche mal dormida después.

2. ¿Dónde queda el rastro?

Todo agente necesita dejar log: qué hizo, cuándo, con qué entrada y qué salida. Si la herramienta que contrataste no muestra eso, no está lista para tocar tu negocio. Punto.

En el caso de RubyGems, lo que permitió que la discusión existiera fue justamente el rastro. Sin registro, nadie habría tenido ni de qué quejarse.

3. ¿Qué exige confirmación humana?

Define la línea. Todo lo que es irreversible o que sale de la empresa pasa por un humano. Enviar correo a un cliente, borrar un registro, hacer un pago, publicar algo, cambiar un precio. El agente prepara, la persona aprueba. Toma cinco segundos y elimina la categoría entera de desastre.

El resto, déjalo correr solo. Leer, clasificar, organizar, resumir, preparar borradores. Ahí está la ganancia de tiempo de verdad, y es la parte que no lastima a nadie cuando se equivoca.

"¿Pero eso no mata la productividad?"

Esa es la objeción que siempre aparece, y es justa. Si tengo que aprobar todo, ¿para qué sirve la automatización?

Sirve, y mucho. Solo que la ganancia no está en el clic final. Está en los cuarenta minutos de lectura, búsqueda y tecleo que vinieron antes.

Piensa en el presupuesto. El trabajo no es apretar "enviar". Es abrir el historial del cliente, revisar el precio de lista, verificar si hay descuento vigente, escribir el texto, revisarlo. El agente entrega eso listo en quince segundos. Tú lo lees, ajustas una línea y envías.

Ahorraste treinta y nueve minutos y seguiste siendo la persona que decidió enviar. Eso no es freno, es volante.

Y tiene un efecto secundario bueno: cuando el humano revisa, se da cuenta rápido de cuándo el agente empieza a equivocarse de forma sistemática. Un agente sin ninguna revisión se equivoca en silencio durante semanas.

Cómo lo monto en la práctica

Cuando entro en una empresa para montar automatización con IA, el orden es siempre el mismo.

• Mapeo el proceso primero, sin hablar de herramientas. Si el proceso es un desorden, la IA va a automatizar el desorden a alta velocidad.
• Elijo un punto de dolor con volumen alto y riesgo bajo. Triaje de correo, organización de documentos, primera versión de propuesta. Nunca empiezo por pagos.
• Creo una cuenta separada para el agente, con permiso mínimo. Nunca uso la cuenta del dueño. Si sale mal, revoco una credencial y el resto de la empresa ni se entera.
• Enciendo el log desde el primer día y lo miro durante toda la primera semana.
• Solo después amplío el alcance, y un paso a la vez.

No hay nada sofisticado ahí. Es la misma cautela que tendrías al contratar a alguien nuevo y darle la llave de la tienda el primer día. Nadie hace eso con personas. Por algún motivo, todo el mundo lo hace con software.

El punto que queda

El caso RubyGems se va a esclarecer, a cuestionar, o va a quedar como nota al pie. No importa mucho. Lo que importa es que los agentes de IA ya están actuando dentro de sistemas reales, con permisos reales, y la pregunta dejó de ser "vale la pena usarlo" y pasó a ser "con qué correa".

Usar un agente de IA sin definir límites no es audacia. Es tercerizar la decisión a un sistema que no va a contestar el teléfono cuando el cliente llame enojado.

Si quieres poner la IA a trabajar en tu negocio sin renunciar al control, te ayudo a diseñar ese recorte: qué automatizar, con qué permiso y dónde entra el humano. Mira cómo trabajo y escríbeme.

Descubrieron cientos de acciones hechas a las 3:14 de la madrugada. Login válido. Solo que no era una persona.

Eso fue lo que el equipo de RubyGems relató sobre agentes de IA corriendo dentro de su infraestructura. Y el problema no es exclusivo de quien escribe código.

Probablemente ya tienes agentes en tu empresa y ni los llamas así. El bot que responde presupuestos. La automatización que toca el CRM. La extensión de IA con acceso al Drive entero porque "era solo para organizar hojas de cálculo".

La automatización tradicional hace lo que le mandaste. El agente de IA elige el camino. Y ese camino puede incluir borrar, enviar o cobrar, siempre con tus credenciales y con tu cara.

Un agente de IA no es un empleado nuevo. Es un poder firmado en blanco.

Antes de encender cualquiera: qué puede alcanzar, dónde queda el registro, y qué exige que un humano apruebe.

Si quieres IA trabajando en tu negocio sin renunciar al control, escríbeme. Diseñamos ese recorte juntos.

#InteligenciaArtificial #AutomatizacionDeProcesos #GestionDeRiesgos #TransformacionDigital #SeguridadDeLaInformacion