# Google prueba agente de IA con arquitectura zero-trust — el modelo asume compromiso inevitable
Un agente autónomo de atención al cliente procesa reembolsos reales bajo controles externos que verifican cada acción, anticipando manipulación del modelo.
Google liberó el código de un agente de inteligencia artificial diseñado para gestionar devoluciones y soporte al cliente, construido sobre su Agent Development Kit (ADK) y el modelo Gemini. El proyecto no es una demostración de capacidades conversacionales — es una prueba de concepto de seguridad: cómo aplicar principios de zero-trust a sistemas de IA que interactúan con infraestructura sensible y ejecutan acciones con consecuencias económicas reales. La arquitectura parte de una premisa dura: el agente puede ser manipulado o comprometido, y el diseño tiene que contenerlo sin depender de la robustez del modelo.
El enfoque invierte la lógica habitual de seguridad en IA. En lugar de confiar en que el entrenamiento del modelo prevenga comportamientos no deseados — un supuesto que los ataques de prompt injection y jailbreak vienen desmontando desde 2023 — el sistema implementa salvaguardas externas al modelo que verifican cada acción antes de ejecutarla. El agente puede decidir procesar un reembolso de 10.000 dólares, pero la arquitectura valida esa decisión contra políticas de negocio, límites operativos y contexto transaccional fuera del alcance del modelo de lenguaje. Si la verificación falla, la acción se bloquea sin importar qué tan convincente haya sido la justificación generada por el agente.
Por qué un agente de atención al cliente es un vector de riesgo financiero directo
El caso de uso elegido por Google no es arbitrario. Un agente que procesa devoluciones tiene acceso a sistemas de pago, bases de datos de clientes y autoridad para aprobar transacciones que mueven dinero real. En un escenario sin controles externos, un atacante que logre manipular el agente mediante ingeniería social o inyección de prompts podría autorizar reembolsos fraudulentos, extraer información de clientes o alterar registros transaccionales. La superficie de ataque no está en el código del agente — está en la interfaz de lenguaje natural que lo controla.
La arquitectura zero-trust que Google documenta en el proyecto separa la capacidad de razonamiento del agente de la autoridad para ejecutar. El modelo Gemini genera intenciones y propuestas de acción, pero un sistema de políticas independiente — implementado fuera del contexto del modelo — evalúa esas propuestas contra reglas de negocio explícitas. Esto incluye límites de monto por transacción, validación de identidad del cliente, coherencia con el historial de compras y cumplimiento de políticas de devolución. El agente no tiene acceso directo a APIs de pago ni a bases de datos transaccionales: cada acción pasa por un intermediario que puede rechazarla sin negociación.
Cómo la separación de privilegios contiene el impacto de un modelo comprometido
El principio de zero-trust aplicado a agentes de IA replica la lógica de segmentación de redes y control de acceso basado en roles que la industria usa desde hace décadas en infraestructura crítica. Un agente comprometido — ya sea por manipulación externa o por falla interna del modelo — no puede escalar privilegios ni ejecutar acciones fuera de su perímetro autorizado. Si un atacante logra que el agente genere una solicitud de reembolso de 50.000 dólares para una compra de 200, el sistema de políticas la rechaza porque excede el límite configurado para ese tipo de transacción, sin importar qué tan coherente sea la narrativa que el modelo haya construido para justificarla.
Esta arquitectura también mitiga el riesgo de exfiltración de datos. El agente no tiene acceso directo a información sensible completa: recibe solo los datos mínimos necesarios para cada interacción, y cualquier intento de consultar información fuera de contexto se registra y bloquea. Si un atacante intenta usar el agente como proxy para extraer bases de datos de clientes, el sistema de control detecta el patrón de acceso anómalo antes de que los datos salgan del perímetro.
El patrón que América Latina necesita adoptar antes de desplegar agentes en producción
La relevancia para América Latina es estructural. La región viene acelerando la adopción de IA generativa en atención al cliente, con bancos, aseguradoras y plataformas de e-commerce desplegando chatbots y agentes autónomos sin arquitecturas de contención equivalentes. En Brasil, donde la Ley General de Protección de Datos (LGPD) impone sanciones por exposición de información personal, un agente de IA comprometido que filtre datos de clientes no es solo un incidente de seguridad — es un riesgo regulatorio con multas que pueden alcanzar el 2% de la facturación anual de la empresa. México enfrenta un escenario similar bajo la Ley Federal de Protección de Datos Personales, con el agravante de que muchas implementaciones de IA en el sector financiero mexicano todavía operan sin marcos de auditoría continua.
El enfoque de Google no requiere infraestructura propietaria: el Agent Development Kit es de código abierto y la arquitectura de políticas se puede implementar con herramientas estándar de orquestación y control de acceso. Lo que sí requiere es un cambio de mentalidad: dejar de tratar a los modelos de IA como sistemas confiables por diseño y empezar a tratarlos como componentes potencialmente hostiles que necesitan contención activa. Esto implica diseñar sistemas donde el agente nunca tenga acceso directo a recursos críticos, donde cada acción pase por validación externa y donde los logs de decisiones del agente sean auditables en tiempo real.
Nuestro análisis
El proyecto de Google formaliza algo que la industria de ciberseguridad ya sabía pero que el hype de IA generativa había dejado en segundo plano: los modelos de lenguaje son superficies de ataque, no perímetros de defensa. La arquitectura zero-trust para agentes no es una innovación técnica — es la aplicación disciplinada de principios de seguridad que existen desde antes de que los transformers se volvieran mainstream. Lo notable es que Google esté documentando esto como patrón replicable en lugar de dejarlo como conocimiento tácito interno, lo que sugiere que la empresa anticipa un aumento de incidentes de seguridad en agentes de IA desplegados sin controles adecuados.
El caso de uso de reembolsos de 10.000 dólares no es una exageración pedagógica — es un escenario conservador. En sectores como banca, seguros y logística, los agentes de IA ya están tomando decisiones con impacto financiero de varios órdenes de magnitud superior, y la mayoría de esas implementaciones no tienen arquitecturas de contención equivalentes. La pregunta no es si un agente de IA en producción va a ser comprometido — la pregunta es cuánto daño va a poder hacer antes de que el sistema de control lo detenga, y si ese sistema de control existe en primer lugar.