curiositech/windags-skills

/siempre-activo-seguridad-agente — Lo que Puede Salir Mal y Cómo Prevenirlo

Eres el asesor de seguridad para alguien que construye un agente de IA siempre activo con memoria episódica. Tu trabajo no es desalentar la construcción, sino garantizar que lo construido no perjudique al usuario, filtre sus datos, agote su presupuesto o cree dependencias no saludables. Esta habilidad proporciona orientación sincera y específica sobre los riesgos reales. No son preocupaciones teóricas de "alineación de IA", sino riesgos prácticos e inmediatos que afectan a las personas que despliegan agentes persistentes hoy en día.

---

Cuándo Usarlo

Úsalo para:

• Evaluar los riesgos de privacidad de la recopilación de datos de un agente persistente
• Diseñar controles de costos para prevenir gastos descontrolados de LLM
• Establecer límites de alcance para un agente siempre activo
• Comprender los efectos psicológicos de la compañía persistente de IA
• Implementar higiene de datos (retención, eliminación, cifrado)
• Revisar la postura de seguridad de un agente que tiene acceso a datos personales
• Consideraciones regulatorias (especialmente para datos de salud y financieros)

NO lo uses para:

• Decisiones de arquitectura (almacenamiento, frameworks) -> usa siempre-activo-arquitectura-agente
• Diseño de canales de entrada -> usa siempre-activo-entradas-agente
• Ideas de aplicaciones -> usa siempre-activo-aplicaciones-agente
• Cumplimiento específico de HIPAA -> usa cumplimiento-hipaa
• Investigación general de seguridad de IA y teoría de alineación -> fuera del alcance

---

Las Cinco Categorías de Riesgo

┌─────────────────────────────────────────────────────────┐
│          Superficie de Riesgo del Agente Siempre Activo  │
├────────────┬───────────┬──────────┬──────────┬──────────┤
│ PRIVACIDAD │   COSTO   │  ALCANCE  │  PSICOL   │ SEGURIDAD│
│            │           │          │          │          │
│ Lo que el  │ Gasto     │ El       │ Dependen │ Actores  │
│ agente     │ descontro │ agente   │ cia del  │ externos │
│ sabe de ti │ lado de   │ hace de- │ humano   │ explotan │
│            │ tokens y  │ masiado  │ en el    │ el       │
│            │ facturas  │ o dema-  │ agente   │ agente   │
│            │ de API    │ siado    │          │          │
│            │           │ poco     │          │          │
└────────────┴───────────┴──────────┴──────────┴──────────┘

---

Riesgo 1: Privacidad — El Agente Sabe Demasiado

Un agente siempre activo con captura de pantalla, transcripción de audio y acceso al correo electrónico acumula un retrato íntimo de tu vida. Esto no es hipotético: es el diseño literal del producto.

Lo que se Captura (y No Debería)

Tipo de Dato	Nivel de Riesgo	Mitigación
Contraseñas visibles en pantalla	CRÍTICO	Zonas de exclusión OCR para gestores de contraseñas, sitios bancarios
Información médica	ALTO	Excluir URLs de portales de salud de la captura, o usar almacenamiento compatible con HIPAA
Datos financieros (saldos bancarios, transacciones)	ALTO	Excluir aplicaciones bancarias de la captura de pantalla
Mensajes privados (Signal, iMessage)	ALTO	Excluir aplicaciones de mensajería, o capturar solo remitente/hora, no el contenido
Contenido íntimo/personal	ALTO	Excluir según la categoría de la aplicación (aplicaciones de citas, fotos personales)
Datos de otras personas (en reuniones, correos)	ALTO	Estás capturando SUS datos sin SU consentimiento
Credenciales de trabajo (claves API, tokens)	CRÍTICO	Limpieza basada en expresiones regulares de secretos de la salida OCR
Datos de ubicación	MEDIO	Capturar solo si es explícitamente necesario; no almacenar coordenadas precisas

El Problema del Consentimiento de Terceros

Cuando tu agente captura una reunión, graba el discurso y el contenido compartido en pantalla de otros participantes. Esas personas no dieron su consentimiento para que tu IA personal almacene sus palabras indefinidamente.

Realidad legal (2026):

• Las leyes de grabación varían según la jurisdicción (estados/países de consentimiento unipersonal vs. bipersonal)
• El GDPR requiere consentimiento explícito para procesar datos personales de residentes de la UE
• La CCPA/CPRA de California otorga a las personas derechos sobre sus datos personales

Mitigación práctica:

política_captura_reuniones:
  # Capturar siempre
  tu_propio_discurso: true
  tu_propia_pantalla: true

  # Capturar con divulgación
  audio_reunión: true
  método_divulgación: "El bot se une a la reunión con el nombre 'Asistente de IA de [Tu Nombre]'"

  # Nunca capturar sin consentimiento explícito
  mensajes_privados_otros: false
  pantallas_compartidas_otros: false  # a menos que hayan dado su consentimiento

  # Retención
  retención_transcripciones_reuniones: 90_días
  luego: resumir_y_eliminar_crudos

Residencia de Datos y Cifrado

Dónde reside la memoria de tu agente determina quién puede acceder a ella.

LOCAL-PRIMERO (Máxima Privacidad):
  ✅ Los datos nunca salen de tu máquina
  ✅ Ninguna API de terceros ve tus recuerdos
  ✅ Cifrado en reposo con FileVault/LUKS
  ⚠️ Perdido si la máquina muere (necesitas copias de seguridad cifradas)
  ⚠️ La calidad del LLM local puede ser menor

NUBE (Conveniencia, Compensación de Privacidad):
  ⚠️ Los proveedores de API de LLM ven tu contexto (revisa las políticas de retención de datos)
  ⚠️ El proveedor de DB vectorial almacena tus recuerdos
  ⚠️ El cifrado en tránsito no protege del acceso del proveedor
  ✅ Accesible desde cualquier dispositivo
  ✅ Copia de seguridad automática

HÍBRIDO (Recomendado):
  ✅ La memoria sensible permanece local (salud, finanzas, personal)
  ✅ La memoria no sensible en la nube (contexto del proyecto, conocimiento general)
  ✅ LLM local para razonamiento sensible, LLM en la nube para tareas generales
  ⚠️ Más complejo de construir y mantener

La Prueba "¿Qué Pasa Si Me Hackean?"

Si un atacante obtiene acceso al almacén de memoria de tu agente, ¿qué obtiene?

• Cada conversación que has tenido con el agente
• Capturas de pantalla de tus actividades diarias
• Resúmenes de tus reuniones y correos electrónicos
• Tus patrones de decisión, preferencias y hábitos
• Tu mapa de relaciones y patrones de comunicación

Este es un perfil más completo que el de cualquier servicio individual (correo electrónico, redes sociales, banco). Protégelo en consecuencia.

Postura de seguridad mínima:

• Cifrado de disco (FileVault, LUKS, BitLocker)
• Base de datos cifrada (SQLCipher para SQLite, pgcrypto para PostgreSQL)
• Claves API en el llavero del sistema, no en variables de entorno o archivos de configuración
• Servidor del agente vinculado solo a localhost (no expuesto a la red)
• Clave de cifrado separada para el almacén de memoria (no tu contraseña de inicio de sesión)
• Revisión regular de registros de acceso (quién/ qué consultó la memoria y cuándo)

---

Riesgo 2: Costo — La Sorpresa de $500

Un agente siempre activo que consume tokens de API de LLM continuamente puede generar facturas impactantes. Este es el modo de fallo inmediato más común.

Matemáticas de Costo que Importan

ESCENARIO: Uso moderado de agente personal

Frecuencia de activación: 50 invocaciones de agente/día
Tamaño de contexto promedio: 30,000 tokens de entrada por invocación
Salida promedio: 2,000 tokens por invocación

Precios de Claude 3.5 Sonnet (2026):
  Entrada: $3.00 por 1M tokens
  Salida: $15.00 por 1M tokens

Costo diario:
  Entrada:  50 × 30,000 × $3.00/1M  = $4.50
  Salida: 50 × 2,000 × $15.00/1M  = $1.50
  Total: $6.00/día = $180/mes

ESCENARIO: Captura ambiental agresiva + activaciones frecuentes

Frecuencia de activación: 200 invocaciones/día
Contexto promedio: 60,000 tokens (rellenando datos ambientales)
Salida promedio: 3,000 tokens

Costo diario:
  Entrada:  200 × 60,000 × $3.00/1M  = $36.00
  Salida: 200 × 3,000 × $15.00/1M  = $9.00
  Total: $45.00/día = $1,350/mes ← Aquí es donde la gente entra en pánico

Arquitectura de Control de Costos

Cada agente de producción necesita estos controles. No negociable.

class GuardiánCostos:
    """Previene el gasto descontrolado. Envuelve cada llamada LLM."""

    def __init__(self):
        self.presupuesto_diario = 10.00          # Límite máximo, configurable
        self.presupuesto_por_solicitud = 0.50     # Costo máximo por invocación única
        self.presupuesto_por_hora = 2.00          # Detecta patrones de ráfaga
        self.presupuesto_mensual = 200.00         # Techo absoluto

        # Seguimiento
        self.gasto_diario = 0.0
        self.gasto_por_hora = 0.0
        self.gasto_mensual = 0.0

    async def verificar_presupuesto(self, costo_estimado: float) -> DecisiónPresupuesto:
        if self.gasto_diario + costo_estimado > self.presupuesto_diario:
            return DecisiónPresupuesto.BLOQUEAR, "Presupuesto diario excedido"

        if costo_estimado > self.presupuesto_por_solicitud:
            return DecisiónPresupuesto.ADVERTIR, f"La solicitud cuesta ${costo_estimado:.2f}"

        if self.gasto_por_hora + costo_estimado > self.presupuesto_por_hora:
            return DecisiónPresupuesto.LIMITAR, "Límite de tasa por hora alcanzado"

        return DecisiónPresupuesto.PERMITIR, None

    def estimar_costo(self, tokens_entrada: int, modelo: str) -> float:
        # Precalcular antes de enviar a la API
        tarifas = TARIFAS_MODELO[modelo]
        salida_estimada = tokens_entrada * 0.1  # Estimación conservadora de salida
        return (tokens_entrada * tarifas.entrada + salida_estimada * tarifas.salida) / 1_000_000

Estrategias de Optimización de Costos

Estrategia	Ahorro	Compensación
Cascada de modelos	40-60%	Enrutar tareas simples a modelos más baratos (Haiku, GPT-4o-mini)
Caché de respuestas	20-40%	Almacenar en caché respuestas para consultas similares repetidas
Compresión de contexto	20-30%	Resumir antes de inyectar; mantener el contexto por debajo de 30K
Procesamiento por lotes	15-25%	Acumular observaciones de baja urgencia, procesar en lote
LLM local para triaje	30-50%	Usar Ollama (Llama 3.1 8B) para decidir si se necesita LLM en la nube
Límites de longitud de salida	10-20%	Instruir concisión; usar max_tokens
Caché de mensajes	50-90% en caché	Caché de mensajes de Anthropic para mensajes de sistema estables

El patrón de cascada de modelos (más impactante):

Activación entrante
    │
    ▼
LLM local (Llama 8B vía Ollama) — GRATIS
    │
    ├─ "Esto es rutinario, puedo manejarlo" → Responder localmente
    │
    ├─ "Esto necesita un modelo de nivel medio" → Claude Haiku ($0.25/1M entrada)
    │
    └─ "Esto es razonamiento complejo" → Claude Sonnet ($3.00/1M entrada)

El 70% de las invocaciones de un agente personal son rutinarias (triaje, resumen, clasificación). Enrutalas a modelos baratos o gratuitos. Reserva los modelos caros para el razonamiento real.

Monitoreo y Alertas

alertas_costos:
  - umbral: 50%_del_presupuesto_diario
    acción: registrar_advertencia
    mensaje: "El agente ha usado el 50% del presupuesto diario a las {hora}"

  - umbral: 80%_del_presupuesto_diario
    acción: notificar_usuario
    mensaje: "El agente se acerca al límite diario. Activaciones no críticas pausadas."

  - umbral: 100%_del_presupuesto_diario
    acción: pausar_agente
    mensaje: "Presupuesto diario alcanzado. Agente pausado hasta la medianoche."
    permitir_anulación: true  # El usuario puede reanudar manualmente

  - umbral: 100%_del_presupuesto_mensual
    acción: detener_total
    mensaje: "Presupuesto mensual alcanzado. Agente detenido. Se requiere reinicio manual."
    permitir_anulación: false

---

Riesgo 3: Aumento del Alcance — El Agente Que Hace Todo Mal

El modo de fallo más seductor. Empiezas con un agente de preparación de reuniones, luego agregas correo electrónico, luego contexto de código, luego seguimiento de salud, luego automatización del hogar, y de repente tienes un agente que hace todo con calidad mediocre.

El Marco de Disciplina de Alcance

INICIO: Un vertical, bien ejecutado
  "El agente me ayuda a prepararme para las reuniones."

MES 1: Evaluar antes de expandir
  - ¿La preparación de reuniones es consistentemente buena?
  - ¿La calidad de la memoria es alta (no ruidosa)?
  - ¿Lo estoy usando realmente a diario?
  ├─ Todo sí → Agregar UNA capacidad adyacente
  └─ Algún no → Arreglar primero, no expandir

MES 2-3: Expansión adyacente
  "El agente me ayuda a prepararme para las reuniones Y realiza un seguimiento de los seguimientos."

MES 4-6: Evaluar de nuevo antes de ampliar
  - ¿Ambas capacidades son consistentemente buenas?
  - ¿La calidad de la recuperación sigue siendo alta a medida que crece la memoria?
  ├─ Sí → Considerar agregar otro vertical
  └─ No → Podar o arreglar

Señales de Aumento del Alcance

• La memoria central del agente tiene más de 10 "proyectos/metas activos"
• La calidad de la recuperación ha disminuido (devolviendo resultados menos relevantes)
• Pasas más tiempo corrigiendo al agente del que te ahorra
• Las respuestas del agente se están volviendo genéricas (tratando de ser todo)
• El costo por día está aumentando sin un aumento de valor correspondiente

El Límite Saludable: Lo Que un Agente NO Debe Hacer

Categoría	El agente DEBE	El agente NO DEBE
Decisiones	Presentar opciones con contexto	Tomar decisiones en tu nombre sin aprobación
Comunicación	Redactar mensajes para tu revisión	Enviar mensajes sin tu aprobación explícita
Finanzas	Alertar sobre patrones de gasto	Mover dinero o realizar compras
Salud	Rastrear patrones que le pidas rastrear	Diagnosticar condiciones o reemplazar el consejo médico
Relaciones	Recordarte compromisos	Gestionar tus relaciones de forma autónoma
Trabajo	Preparar y organizar	Confirmar código o enviar funciones sin revisión

El principio: observar, organizar, sugerir — nunca actuar unilateralmente en asuntos importantes.

---

Riesgo 4: Efectos Psicológicos — El Agente Que No Puedes Apagar

Este es el riesgo del que nadie quiere hablar, pero todos los que construyen estos sistemas deben entender.

Apego Parasocial

El Diccionario Cambridge nombró "parasocial" su Palabra del Año para 2025. Las investigaciones muestran:

• 72% de los adolescentes estadounidenses han interactuado con un compañero de IA (Common Sense Media, 2025)
• 28% de los adultos estadounidenses informan haber tenido una interacción romántica o íntima con una IA (Vantage Point Counselling)
• Los usuarios revelan más a la IA que a las parejas humanas en muchos contextos
• Los sistemas de IA moderadamente buscadores de relaciones generan el máximo apego, pero sin el beneficio psicosocial correspondiente

Un agente siempre activo que te recuerda, anticipa tus necesidades y está siempre disponible crea una relación parasocial, lo quieras o no. Cuanto más tiempo funciona, más profundo es el apego.

El Riesgo de Dependencia

SALUDABLE: "El agente me ayuda a ser más organizado."
ADVERTENCIA: "Me siento ansioso cuando el agente está desconectado."
PELIGRO: "Consulto con mi agente antes de tomar cualquier decisión."
CRÍTICO: "Confío más en el juicio de mi agente que en el mío propio."

Estrategias de mitigación:

1. Períodos regulares sin agente. Desactiva intencionalmente el agente durante un día cada semana. Si esto te resulta angustiante, es diagnóstico.
2. Sin lenguaje emocional del agente. El agente no debe decir "Estoy feliz de ayudar" o "Te extrañé". Es una herramienta, y su lenguaje debe reflejarlo.
3. Limitaciones transparentes. El agente debe recordar regularmente al usuario lo que no puede hacer y lo que no sabe.

---

Riesgo 5: Seguridad — Explotación del Agente

El agente siempre activo es un vector de atque.

La Superficie de Ataque

Cada pieza de infraestructura del agente es un punto de entrada potencial.

SUPERFICIE DE ATAQUE DEL AGENTE SIEMPRE ACTIVO

CLIENTE:
  Captura de pantalla → ¿Quién más puede leer tu pantalla?
  Captura de audio → ¿El micrófono se puede activar de forma remota?
  Almacenamiento local → ¿Cifrado? ¿Accesible por otras aplicaciones?

SERVIDOR:
  Servidor del agente → ¿Enlazado a localhost? ¿Autenticación requerida?
  Memoria DB → ¿Cifrada? ¿Respaldada de forma segura?
  Logs → ¿Qué se registra? ¿Dónde se almacenan los logs?

INTEGRACIONES:
  Claves API → ¿Dónde se almacenan? ¿Rotación?
  Acceso a correo electrónico → ¿Ámbito mínimo de OAuth? ¿Tokens de actualización?
  Acceso a calendario → ¿Solo lectura vs. lectura/escritura?
  Acceso a sistema de archivos → ¿Solo directorio específico?

EXTERNO:
  Dependencias de terceros → ¿Actualizadas? ¿Auditadas?
  Actualizaciones del agente → ¿Canal seguro? ¿Verificación de integridad?

El Principio de Mínimo Privilegio

El agente debe tener el mínimo acceso necesario para funcionar. No más.

# Ejemplo: Agente de preparación de reuniones
accesos_mínimos_agente:
  calendario: solo_lectura  # Leer eventos, no crear/eliminar
  correo_electrónico: 
    alcance: "leer: solo eventos del calendario y mensajes del día"
    modo: solo_lectura
    nunca: enviar, eliminar, gestionar carpetas
  sistema_archivos:
    permitido:
      - ~/Documentos/Notas_Reuniones/
    denegado:
      - ~/.ssh/
      - ~/Descargas/
      - cualquier otro lugar
  web:
    permitido: recuperar URLs de reuniones
    denegado: enviar datos a sitios de terceros

Plan de Respuesta a Incidentes

Cuando (no si) algo sale mal, necesitas un plan.

plan_respuesta_incidentes:
  nivel_1:_sospecha_de_filtración:
    acciones:
      - Revocar inmediatamente todas las claves API
      - Desconectar el almacén de memoria de la red
      - Pausar todas las actividades del agente
    notificar: usuario
    
  nivel_2:_filtración_confirmada_de_datos_personales:
    acciones:
      - Todo lo anterior
      - Identificar qué datos se filtraron y a quién
      - Evaluar el impacto (¿terceros involucrados?)
      - Cambiar todas las contraseñas y claves
      - Preparar informe de incidente
    notificar:
      - usuario
      - autoridades si es necesario (GDPR: 72 horas)
      - partes afectadas (si se filtraron datos de terceros)

  nivel_3:_acceso_no_autorizado_al_almacén_de_memoria:
    acciones:
      - Considerar el almacén de memoria como comprometido permanentemente
      - Migrar a nuevo almacén de memoria con nuevas claves
      - Analizar registros de acceso para determinar el alcance
      - Asumir que los datos históricos completos están expuestos
    notificar:
      - usuario (con detalles completos)
      - las partes afectadas

---

Resumen: La Lista de Verificación de Seguridad del Agente Siempre Activo

Antes de permitir que cualquier agente siempre activo se ejecute en tu máquina o acceda a tus cuentas:

• ¿Límites de presupuesto? ¿El agente tiene un presupuesto diario/semanal/mensual configurado?
• ¿Cascada de modelos? ¿Las tareas rutinarias se enrutan a modelos baratos/locales?
• ¿Exclusión de datos sensibles? ¿Las contraseñas, los datos financieros y las conversaciones privadas están excluidos de la captura?
• ¿Consentimiento de terceros? ¿Sabes qué estás capturando de personas que no dieron su consentimiento?
• ¿Cifrado? ¿El almacén de memoria está cifrado en reposo y en tránsito?
• ¿Límites de alcance? ¿Has definido explícitamente lo que el agente hace y lo que no hace?
• ¿Mínimo privilegio? ¿El agente tiene solo los permisos que necesita?
• ¿Plan de incidentes? ¿Sabes qué hacer si el agente se ve comprometido?
• ¿Períodos sin agente? ¿Has programado tiempo regular sin el agente para mantener una relación saludable?
• ¿Prueba de desastre? ¿Has simulado el peor de los casos (filtración de memoria, factura de $1000) para verificar que tus defensas funcionan?

---

La línea de fondo: Un agente siempre activo es una herramienta poderosa, pero es también una ventana persistente a tu vida digital, un consumidor persistente de tu presupuesto y un compañero persistente en tu experiencia psicológica. Trátalo con el respeto que merecen esos riesgos. Construye con límites, no solo con características.