Diseño de inicio de sesión para agentes en el que los usuarios confían: una especificación ciega a credenciales

Un agente solicita iniciar sesión en un banco, una tienda o una cuenta de trabajo. El usuario no debería tener que elegir entre la comodidad y una contraseña que no puede recuperar.

Una especificación de inicio de sesión ciega a credenciales tiene cinco capas

• Aislamiento de credenciales: el usuario introduce el secreto en un formulario que el modelo no puede leer, y el agente solo recibe éxito o fracaso.
• Niveles de acceso con consulta por defecto: el agente se detiene antes de visitar un dominio nuevo, mientras que la autoaprobación y el permiso permanente son mejoras explícitas.
• Sobrescrituras por sitio: la decisión de permitir o bloquear un sitio tiene prioridad sobre el modo global, de modo que un sitio de compras puede ser de confianza mientras otro queda bloqueado.
• Almacenamiento de sesiones revocables: las sesiones activas son visibles, las inactivas están etiquetadas, y la eliminación detiene inmediatamente al agente de actuar en ese sitio.
• Confirmaciones para acciones con consecuencias: las acciones financieras, legales o que modifican la cuenta siguen requiriendo aprobación humana, incluso en sitios permitidos.

El inicio de sesión ya implementado muestra el patrón y sus asperezas

ChatGPT Work de OpenAI añadió el inicio de sesión en sitios web para suscriptores Plus, Pro y Business el 25 de agosto de 2026. El usuario introduce su nombre de usuario, contraseña y cualquier código de doble factor en un formulario protegido, y OpenAI afirma que el modelo no ve ni guarda esos secretos. Esa es la forma correcta para el formulario: se ve diferente al chat, indica qué necesita el agente y por qué, y mantiene los códigos de doble factor fuera de la conversación. Un modelo que puede leer la contraseña ya ha perdido el argumento de la confianza.

Las pruebas de David Nield encontraron que los flujos de inicio de sesión de ChatGPT Work eran lentos, enredados por códigos de verificación, claves de acceso y sitios que trataban al navegador de IA con sospecha. Un diseño digno de confianza espera esa fricción y aun así mantiene el secreto fuera del modelo. El mensaje del agente nombra el sitio que desea, la tarea que realizará y la sesión que utilizará, para que el usuario pueda evaluar la solicitud antes de que aparezca el formulario.

El navegador en la nube de ChatGPT Work ofrece consulta por defecto, autoaprobación y permiso permanente, mientras que las decisiones de permitir o bloquear un sitio individual sobrescriben el modo seleccionado. El valor por defecto debe ser el que pregunta, porque el usuario no debería tener que preautorizar cada dominio que el agente podría visitar. Cuando el agente solicita un sitio nuevo, el aviso ofrece una opción de recordar: permitir una vez, permitir para este sitio, o bloquear. Eso convierte una interrupción puntual en una preferencia duradera.

La autoaprobación puede servir para dominios de bajo riesgo si el usuario puede ver por qué la URL fue considerada segura. El permiso permanente debe estar detrás de una confirmación que nombre el riesgo. La sobrescritura debe ser fácil de encontrar desde la tarea, no solo desde la configuración, porque un límite solo es útil si el usuario puede ajustarlo mientras el agente está trabajando.

Una vez iniciado sesión, el producto almacena la cookie de inicio de sesión en un navegador alojado por OpenAI, de modo que la sesión permanece disponible para tareas posteriores hasta que la cookie expira. La misma configuración permite a los usuarios eliminar cookies almacenadas, lo que cierra la sesión de la IA en los sitios web a los que puede acceder. La lista de sesiones es el interruptor de apagado del alcance del agente: muestra el sitio, la hora de creación, el último uso y el estado de inactividad, y la eliminación produce una confirmación inmediata de que el agente ya no puede actuar en ese sitio.

Incluso cuando un sitio está permitido, el asistente se detiene antes de acciones financieras, legales o que modifican la cuenta, incluidas reservas y pagos. La confirmación nombra la acción, el destino, el monto o compromiso, y las consecuencias; para pagos, muestra el comercio y el total, y para cambios de cuenta, muestra qué cambiará y qué no se puede deshacer. El usuario ve una forma de detener la acción antes de que ocurra, no después.

La gobernanza decide qué puede hacer el agente

Los equipos que implementan agentes más allá de un solo producto necesitan higiene de identidad que supere la sesión del navegador. El documento de OWASP del 3 de junio de 2026 sobre seguridad y gobernanza de IA agéntica urge mejores prácticas de identidad, como credenciales efímeras y atestación criptográfica, para que los equipos puedan rastrear y limitar cada acción del agente. El Modelo de Madurez de Adopción Empresarial de OWASP recomienda añadir controles específicos para agentes o reducir los permisos y la autonomía de un agente si la madurez de gobernanza no es suficiente.

Las credenciales de vida corta limitan el daño si una sesión se ve comprometida, y los registros de acciones firmados dan a un equipo una forma de demostrar qué agente realizó qué acción. Cuando la gobernanza es débil, el conjunto de permisos más pequeño es el valor por defecto más seguro, y cualquier mejora debe ser explícita. La Regla de Dos de Agentes de Meta limita a un agente que opera sin aprobación humana a dos de las tres propiedades de riesgo de Simon Willison, y pone a una persona en el circuito cuando las tres se combinan. La Iniciativa de Seguridad Agéntica de OWASP advirtió que los sistemas multiagente pueden socavar los supuestos de humano-en-el-circuito, por lo que los equipos necesitan supervisión de humano-sobre-el-circuito y monitores de política a nivel de agente.