Antes de dar acceso a un agente de IA: qué auditar en sus permisos OAuth

Meta ha lanzado Muse, un agente de IA personal que pide acceso a correo, calendario, pagos y datos de salud para hacer cosas por ti, como vender un coche o reservar viajes. Compite con agentes como OpenClaw e Instinct, y promete controles de privacidad. Pero la pregunta útil para cualquier administrador o desarrollador no es si te fías de Meta, sino qué exactamente estás concediendo cuando autorizas a un agente así, y qué sigue funcionando cuando dejas de vigilarlo.

Un agente no es una aplicación. Una app pide permiso y actúa cuando la abres; el acceso se limita con tu atención. Un agente tiene acceso permanente: el token persiste entre sesiones y actúa en tu nombre, con efectos reales: envía correos, hace reservas, autoriza pagos. Si se compromete, no es una fuga de datos; es como si alguien tuviera tu teléfono desbloqueado mientras viva el token.

Seis comprobaciones antes de conceder acceso

Primera: separa lectura y escritura. “Acceso al correo” puede ser leerlo para resumir tu día o enviar mensajes como tú. No son el mismo riesgo. Si la pantalla de permisos no distingue mail.read de mail.send, asume lo más amplio. Leer ya es serio; escribir como tú es lo que convierte un error en incidente.

Segunda: mira el ámbito, no solo la categoría. Acceso total a la bandeja frente a una etiqueta concreta. Si la herramienta permite acotar, hazlo. Si no, eso dice cómo piensa el proveedor sobre tus datos.

Tercera: dos preguntas distintas. ¿El procesamiento es local o en la nube del proveedor? ¿Tus datos se convierten en entrenamiento? “No entrenamos con tus datos” y “por defecto no, pero puedes optar” son frases casi iguales en la pantalla de ajustes.

Cuarta: busca el camino de revocación antes de necesitarlo. ¿Dónde se desactiva y eso borra lo recopilado? Son procesos separados; el segundo suele estar enterrado. Revisa las aplicaciones conectadas y comprueba si revocar invalida los tokens emitidos; a veces no lo hace.

Quinta: define qué puede hacer con terceros. Un agente que negocia o transacciona actúa en tu nombre ante otras personas. Si hay pagos, exige confirmación por acción y un límite de gasto, no autorización en blanco.

Sexta: pide una traza de auditoría. Qué hizo, cuándo y por orden de quién. Sin log no puedes detectar ni reconstruir una acción incorrecta.

Lo que más me preocupa

Un agente con tu correo y calendario es el mejor pretexto de phishing jamás construido: tiene tu agenda, tus contactos, lo que compras. Si ese almacén es accesible, los mensajes generados serán impecables. Los atacantes ya no roban contraseñas, roban acceso legítimo: la operación BigBear consiguió 474 sesiones de Microsoft 365 con MFA mediante un proxy de relevo. Un agente es la forma más concentrada de acceso legítimo que la mayoría tendrá.

Si administras sistemas ajenos

Un empleado que concede acceso a un agente a su buzón corporativo está dando a un tercero acceso a datos de la empresa. No siempre está mal, pero debe ser una decisión con dueño, no algo de una demo. Como mínimo: conoce qué agentes tienen tokens contra tu tenant, loguea lo que hacen y que el offboarding los revoque. Cerrar la cuenta dejando el token vivo es fácil de hacer y difícil de notar.

No diré que no uses estas herramientas: algunas ahorran tiempo, y rechazarlas por principio no es estrategia. Pero la pantalla de permisos es el lugar equivocado para decidir: para entonces, la pregunta ya está enmarcada como «permite para continuar» y lo importante (qué persiste, qué puede hacer sin ti, qué pasa al revocar) ya se decidió en algún ajuste que nadie abre. Léelas antes; el agente puede esperar treinta segundos. CyberPicks ha publicado una lista de comprobación de permisos.