La investigación converge: los agentes que piensan nunca deben actuar
Cuando varios grupos de investigación independientes, partiendo de puntos distintos, llegan una y otra vez a la misma conclusión, deja de ser una opinión y pasa a ser un resultado. Durante un tiempo, la seguridad de agentes fue un campo de intuiciones en competencia: mejores prompts, mejores filtros, mejor alineamiento. Gente sensata discrepaba sobre qué enfoque ganaría. Ese desacuerdo se está estrechando, y se estrecha hacia una conclusión arquitectónicamente incómoda y difícil de rebatir.
Solo que la convergencia de 2026 no va hacia una defensa mejor dentro del modelo. Va hacia una frontera entre modelos. Como informa CSO Online, un cuerpo creciente de trabajo sostiene que las fronteras de privilegio no se pueden aplicar dentro de un único flujo de tokens, que, en cuanto el razonamiento y la acción comparten un contexto, ninguna cantidad de instrucciones impide con fiabilidad que el contenido no confiable dirija la acción privilegiada. La taxonomía "AI Agent Traps" de Google DeepMind nombra seis categorías distintas de ataques dirigidos a agentes. El artículo "Parallax", publicado en arXiv, sostiene que el componente que razona sobre contenido no confiable no puede ser el componente que actúa. Y el trabajo sobre propagación de autorización plantea la gobernanza de identidad como infraestructura para sistemas multiagente, y no como una funcionalidad atornillada a uno. Laboratorios distintos, métodos distintos, un destino.
Ese destino es una única regla de diseño. El agente que piensa no puede ser el agente que actúa. Dicho al revés, el lector que ve el ataque no puede tener manos.
La taxonomía que muestra por qué un flujo de tokens no aguanta
Empieza por la taxonomía de DeepMind, porque explica por qué la convergencia está ocurriendo ahora y no es otra ronda del mismo debate.
"AI Agent Traps" nombra seis categorías de ataque dirigidas a agentes: inyección de contenido, manipulación semántica, ataques al estado cognitivo, inducción al uso indebido de herramientas, secuestro de objetivos y colusión multiagente. El valor de una taxonomía no es la lista. Es lo que la lista revela cuando la miras en conjunto. Lee las seis juntas y no son seis bugs separados esperando seis parches separados. Son seis formas de explotar una misma propiedad subyacente: un agente que razona sobre contenido no confiable, dentro de un único contexto, con capacidad de actuar.
La inyección de contenido mete una instrucción hostil en lo que el agente lee. La manipulación semántica y los ataques al estado cognitivo tuercen cómo el agente interpreta y recuerda. La inducción al uso indebido de herramientas y el secuestro de objetivos vuelven las propias capacidades del agente contra su propósito. La colusión multiagente escala el problema por un sistema de agentes. Todas dependen del mismo hecho: el componente que razona es también el componente con acceso a las herramientas. Colapsa eso en un único flujo de tokens y cada una de las seis tiene un camino de la entrada no confiable a la acción privilegiada.
Esto es lo que quiere decir la cobertura de CSO Online cuando informa de que las fronteras de privilegio no se pueden aplicar dentro de un único flujo de tokens. No es que la frontera sea débil. Es que no hay frontera que aplicar, porque dentro de un contexto la instrucción que le diste tú y la instrucción escondida en un documento son la misma clase de cosa, y el modelo razona sobre ambas con los mismos privilegios.
"Parallax" enuncia la regla que la taxonomía implica
La taxonomía de DeepMind muestra el problema. El trabajo "Parallax" enuncia la solución, y la solución es una separación, no un filtro.
El argumento, publicado en arXiv, es directo: el componente que razona sobre contenido no confiable no puede ser el componente que actúa. Fíjate en que esto no es un consejo sobre tener cuidado. Es una restricción estructural sobre cómo se construye el sistema. No dice "razona con cuidado sobre contenido no confiable". Dice que el papel de razonar-sobre-contenido-no-confiable y el papel de actuar tienen que vivir en componentes distintos, de forma que comprometer el primero no dé acceso al segundo.
Esta es la misma forma que el principio de seguridad que todos los demás dominios aprendieron a base de golpes. No dejas que el proceso que interpreta un archivo hostil corra con derechos de administrador. No dejas que el código que lee entradas controladas por el atacante tenga las llaves de aquello para lo que podrían engañarlo. La seguridad de agentes está redescubriendo la separación de privilegios, y "Parallax" es su enunciado para sistemas cuya acción privilegiada la dispara un razonamiento en lenguaje natural sobre contenido que puede haber escrito un adversario.
La tercera línea, la autorización propagada como infraestructura, completa el cuadro. En un sistema multiagente la frontera no es una división que se hace una vez. La identidad y el permiso tienen que viajar correctamente en cada salto, para que un agente que pasa trabajo a otro no pueda blanquear privilegio que nunca le concedieron. Plantear la gobernanza de identidad como infraestructura, en lugar de como un ajuste por agente, es lo que mantiene intacta la separación a medida que el sistema crece más allá de un agente. Es exactamente el caso del que avisa la sexta categoría de DeepMind, la colusión multiagente.
El lector sin manos
Este es el principio sobre el que construye Vesster, y la investigación convergiendo hacia él es la razón por la que estamos cómodos diciéndolo con claridad en lugar de matizar.
El diseño tiene una forma concreta, y corresponde exactamente a lo que describe el trabajo de 2026. Separa el planificador del lector. Un planificador privilegiado decide qué hacer e invoca herramientas, pero nunca lee directamente contenido no confiable. Un lector en cuarentena lee el documento no confiable, el correo del cliente, el PDF de un tercero, y extrae lo necesario, pero no tiene herramientas y no puede actuar. Es el patrón dual-LLM CaMeL, y es la forma operativa de la regla de "Parallax". El componente que ve el ataque no tiene manos. El componente con manos nunca ve el ataque. Ante cualquier duda, falla cerrado.
Dale a cada agente su propia identidad de privilegio mínimo. Ningún agente lleva poder permanente. Cada uno corre bajo una identidad acotada y de corta duración con una allow-list explícita, así que incluso un agente secuestrado manda sobre un actor que solo puede ejecutar un puñado de acciones con nombre hacia un puñado de destinos permitidos. Es el principio de la propagación de autorización hecho concreto: la identidad es infraestructura, no un ajuste.
Aplica política en cada salto. En un flujo multiagente, la frontera se vuelve a comprobar en cada relevo, así que el privilegio no puede propagarse a donde no se concedió y un agente comprometido no puede reclutar a los demás. Es la respuesta directa a la categoría de colusión multiagente de DeepMind.
Ninguno de estos intenta hacer fiable al modelo que razona. Cada uno asume que se puede engañar al lector, porque la investigación dice que se puede, y garantiza que engañarlo no consigue nada. El lector que ve el ataque no tiene manos. Esa única frase es toda la arquitectura, y es la frase a la que tres esfuerzos de investigación independientes llegaron a lo largo de 2026.
El replanteamiento
La pregunta con la que empezó el campo, la que produjo años de filtros en competencia, es "¿cómo hacemos que el agente resista la manipulación?". La convergencia de 2026 es una respuesta, y no es la respuesta que nadie esperaba. No lo haces, no con fiabilidad, no dentro de un único flujo de tokens. Organizar una defensa alrededor de un agente a prueba de manipulación es organizarse alrededor de un componente que la investigación dice ahora que no puede existir.
La pregunta mejor es esta. En nuestro sistema, ¿es el componente que razona sobre contenido no confiable el mismo que puede actuar y, si asumimos que lo engañarán, qué le permite hacer realmente que lo engañen? Si el razonamiento y la acción comparten un contexto, la respuesta honesta es "todo aquello a lo que el agente puede llegar", y las seis categorías de ataque tienen camino. Si están separados, al lector se le puede engañar todo el día y no toca nada, porque nunca se le dieron manos.
Las intuiciones han dejado de competir. Grupos independientes, desde direcciones distintas, llegaron a la misma regla. Los agentes que piensan nunca deben actuar. Construye la frontera hacia la que la investigación no deja de apuntar, y la manipulación que no puedes evitar se convierte en la manipulación que no importa.
Si quieres comprobar si tus agentes mantienen al lector y al actor en las mismas manos, reserva una reunión y tráenos el flujo con más agentes hablando entre sí.