Excessive agency
La excessive agency es la situación en la que a una aplicación construida sobre un modelo de lenguaje se le concede más funcionalidad, más permiso o más autonomía de la que su tarea necesita. Es la entrada de la lista de OWASP para aplicaciones LLM que decide si una inyección con éxito es una respuesta bochornosa o un incidente.
Tiene tres causas separables y necesitan arreglos separados. Funcionalidad de más: al agente se le da una herramienta que puede hacer más de lo que el caso de uso necesita, como un conector de base de datos con permiso de escritura cuando solo lee. Permisos de más: la herramienta actúa con una identidad de servicio que tiene derechos amplios en vez de con los derechos de quien pregunta. Autonomía de más: la acción se ejecuta sin que nadie confirme nada, en un flujo donde confirmar saldría barato.
Esto es la bisagra de toda la categoría porque el comportamiento del modelo no se puede garantizar. Las instrucciones pueden llegar desde un documento recuperado, una página web, un ticket o un correo, y ningún filtro las distingue de forma fiable de la petición del propio usuario. Así que la pregunta útil durante una evaluación no es si se puede hacer que el modelo se porte mal, que en general sí, sino qué es capaz de hacer cuando lo hace.
Aplicar el mínimo privilegio a un actor que no es humano es la mitigación entera: herramientas estrechas en vez de generales, la identidad del usuario que pide propagada hasta la llamada a la herramienta para que el backend imponga el acceso, y un paso de aprobación delante de cualquier cosa irreversible o visible desde fuera. Medir esa distancia entre lo que un agente puede hacer y lo que necesita hacer es la sustancia de la seguridad de agentes de IA y de las pruebas de IA donde se ejercitan los permisos de un agente y no solo sus prompts.