Cómo dejar que un agente de IA use tu computadora de forma segura

Cualquiera que sea el espacio que elijas, trátalo como un escritorio nuevo, no el que usas siempre. Inicia sesión solo en las una o dos cuentas que la tarea realmente requiere, y deja todo lo demás con sesión cerrada. Si la tarea es reservar una sola cita en un sitio de programación, ese sitio es lo único que necesita una sesión; tu correo, tu banco y tus herramientas de trabajo no pertenecen al mismo espacio solo porque sería conveniente tenerlos a la mano.

Mantén un gestor de contraseñas y cualquier acceso bancario totalmente fuera de ese espacio, no solo con sesión cerrada sino sin guardarlos ahí nunca en primer lugar. La guía de seguridad de Anthropic para el computer use de Claude es directa al respecto, advirtiendo contra dar al modelo acceso a datos sensibles como información de inicio de sesión de cuentas, específicamente para prevenir el robo de información. La misma lógica aplica sin importar el agente de qué proveedor estés usando: el agente no puede filtrar ni usar mal una credencial que nunca estuvo a su alcance.

Esto importa aún más una vez que el agente necesita tener sesión iniciada en cualquier cosa. La propia guía de prompts de Anthropic señala que usar el computer use dentro de aplicaciones que requieren inicio de sesión aumenta el riesgo de un mal resultado por un ataque de prompt injection, y recomienda revisar cómo reducir ese riesgo antes de entregar cualquier credencial de inicio de sesión. Una cuenta acotada y desechable para el único servicio que realmente necesitas es una pequeña molestia frente a ese riesgo.

Un agente de uso de computadora no solo lee tus instrucciones. También lee lo que haya en las páginas, documentos y correos que abre en el camino, y parte de ese contenido puede llevar instrucciones propias, dirigidas al agente y no a ti. Esto se llama prompt injection: una frase escondida en una página web o un correo que intenta redirigir al agente hacia hacer algo que nunca pediste, como visitar un sitio diferente, compartir información o repetir una acción no deseada.

La documentación de Anthropic para el computer use de Claude lo expone con claridad: en algunas circunstancias, Claude sigue órdenes encontradas en el contenido incluso cuando entran en conflicto con las instrucciones del usuario, dando el ejemplo de instrucciones en páginas web o dentro de imágenes que anulan lo que pediste. Anthropic agrega que ejecuta clasificadores automáticos para escanear lo que devuelven las herramientas de computer use, como las capturas de pantalla, para marcar posibles intentos de inyección, pero es igual de directo en que las precauciones de aislar al agente de datos y acciones sensibles siguen siendo importantes incluso con esos clasificadores funcionando.

Ese último punto es el que vale la pena recordar en todas las versiones de esta función de cada proveedor, no solo la de Claude. Una verificación de seguridad automatizada es una segunda capa, no un reemplazo de la primera: mantén al agente fuera de tus cuentas sensibles para que incluso un intento de inyección exitoso tenga muy poco que hacer una vez dentro.

Trata el final de una sesión de uso de computadora como tratarías la revisión del primer día de un nuevo empleado: mira lo que realmente pasó, no solo si el resultado final se ve bien. Pídele al agente que liste cada página que visitó, cada cuenta que tocó y cada campo en el que escribió, en orden, y compara eso con lo que esperabas que requiriera la tarea.

La documentación de Anthropic para Claude señala que varias acciones pueden agruparse en un solo 'batch', completando una secuencia de varios pasos dentro de un solo turno, y recomienda específicamente que si tu aplicación le pide a un humano confirmar acciones consecuentes, esa verificación debe ocurrir antes de que corra cada paso del batch, no solo una vez al final. La versión práctica de ese consejo para cualquiera que use estas herramientas directamente es la misma: no esperes a que termine por completo una secuencia larga para empezar a prestar atención.

Un hábito rápido de revisión también detecta los errores comunes que no tienen nada que ver con la seguridad: un campo escrito en el recuadro equivocado, un paso saltado, una página que no cargó como el agente asumió. Leer lo que pasó es barato. Descubrir un error después del hecho, una vez que un mensaje ya se envió o un formulario ya se envió, no lo es.

Empieza con el espacio más pequeño que pueda hacer el trabajo con plausibilidad. Una sola búsqueda rápida en un sitio web público no necesita una máquina virtual; un perfil de navegador nuevo es suficiente. Guarda las opciones más pesadas, una cuenta de sistema operativo dedicada o una máquina virtual completa, para tareas que vas a repetir, tareas que tocan más de un sitio, o cualquier cosa con la que todavía te estás familiarizando.

Escribe la tarea de forma acotada antes de entregarla. 'Encuentra los tres vuelos más baratos en el sitio de esta aerolínea y lístamelos' es una tarea que un agente puede hacer con casi nada en riesgo. 'Reserva el vuelo que se vea mejor' entrega una decisión y un pago en un solo paso, que es exactamente el tipo de tarea que pertenece detrás de una regla de aprobación humana, no dentro de la instrucción misma.

Vigila de cerca las primeras sesiones, incluso en un espacio aislado. El aislamiento limita cuánto daño puede hacer un error; no te dice si el agente está haciendo bien la tarea. Una vez que lo has visto manejar unas cuantas corridas como esperabas, puedes relajar tu atención para esa tarea específica y acotada, aunque no para una nueva que todavía no has probado.

Finalmente, asume que la configuración que usas hoy necesitará una segunda revisión más adelante. Los proveedores cambian lo que pueden hacer sus agentes, qué configuraciones existen y qué valores predeterminados aplican, a menudo dentro de los meses de que una función se lanza. Revisa tu propia configuración, y la documentación actual de ese proveedor, antes de apoyarte en un agente para algo más grande que lo primero que probaste.

Un perfil de navegador limpio, una cuenta separada o una máquina virtual limitan todos el radio de impacto de un error. Ninguno de ellos hace que el agente tenga mejor criterio, y ninguno evita que una página de estafa convincente desperdicie una hora del tiempo de una sesión aislada, aunque no pueda alcanzar nada que importe una vez dentro. El aislamiento se trata de qué puede tocar el agente, no de si va a leer bien una situación.

Tampoco reemplaza mirar realmente el resultado. Un agente corriendo dentro de una máquina virtual todavía puede llenar un formulario con la información equivocada, leer mal una página confusa o completar una tarea de una manera técnicamente correcta pero que no era lo que querías. El hábito de revisión descrito antes en esta guía importa sin importar si el agente corre en la configuración más contenida disponible o en la menos contenida.

Finalmente, nada de esto es una configuración de una sola vez que terminas y olvidas. Anthropic, OpenAI, Microsoft y Google siguen desarrollando activamente sus funciones de computer use y navegación agéntica, lo que significa que las configuraciones específicas, los valores predeterminados y las salvaguardas disponibles para ti pueden cambiar de una sesión a la siguiente. Trata esta guía como los hábitos que siguen siendo útiles a lo largo de ese cambio, y revisa la documentación actual del proveedor para los nombres exactos de las funciones y configuraciones que tienes frente a ti ahora mismo.