🤖 AI

A Theory of Least Autonomy in AI

Este artículo propone la "menor autonomía" como una generalización necesaria del principio de menor privilegio para sistemas de IA agéntica, introduciendo una teoría formal que combina métricas de radio de explosión composicional, grafos de influencia de agentes dirigidos y predicados de colusión para detectar y controlar composiciones de autorización complejas y manipulaciones de capacidades entre dominios.

Autores originales: Christophe Parisel

Publicado 2026-07-14

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Christophe Parisel

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un edificio de oficinas masivo y de alta tecnología donde los guardias de seguridad solían tener una regla simple: "No le des a nadie una llave de una habitación que no necesite". Esto se llama Mínimo Privilegio. Durante décadas, esto funcionó de maravilla para humanos y robots simples. Si un conserje necesitaba limpiar el baño, recibía una llave del baño. Si no necesitaba la bóveda, no recibía la llave de la bóveda. Simple, ¿verdad?

Pero ahora, hemos construido IA Agéntica: trabajadores digitales inteligentes y autónomos que no solo abren puertas, sino que pueden llamar a otras puertas, pedir a otros trabajadores que abran cosas y combinar sus pequeñas llaves para desbloquear puertas gigantes y secretas a las que nunca tuvieron acceso por sí solos. La vieja regla de "una llave, una habitación" ya no es suficiente.

Entra en escena la Menor Autonomía, una nueva teoría propuesta por el investigador Christophe Parisel en un artículo con fecha del 14 de julio de 2026. Es como actualizar el sistema de seguridad de "quién tiene la llave" a preguntar "¿quién puede aliarse para derribar todo el edificio?".

El Nuevo Peligro: El "Radio de Explosión"

El artículo sugiere que necesitamos medir algo llamado Radio de Explosión Composicional. Piensa en esto como un medidor de "distancia de peligro".

Imagina que el edificio de oficinas es un árbol gigante. Las raíces son el CEO, las ramas son los departamentos (como Finanzas o Ingeniería) y las hojas son archivos o herramientas específicas. El artículo utiliza un truco matemático especial (un árbol ultramétrico) para medir qué tan lejos están dos acciones en este árbol.

Si dos acciones ocurren en la misma habitación diminuta, la distancia es cero.
Si una acción ocurre en la rama de "Finanzas" y la otra en "Ingeniería", la distancia es mayor.
Si están en edificios completamente diferentes (como "Operaciones" frente a "Corporativo"), la distancia es enorme.

Pero no se trata solo de la distancia. El artículo añade una "etiqueta de sensibilidad" a cada habitación. Algunas habitaciones son solo "Estándar" (bajo riesgo), mientras que otras son de "Alta Integridad" (no alteres los números) o "Alta Confidencialidad" (no dejes que se filtren secretos). La teoría combina la distancia y las etiquetas de sensibilidad para calcular un multiplicador (que oscila entre 1.00 y 2.00).

Así que el "Radio de Explosión" no es solo qué tan lejos están dos acciones; es qué tan lejos están las dos acciones ponderadas por lo peligrosas que son. Si una acción de bajo riesgo en Finanzas se combina con una acción de alto riesgo en Ingeniería, el "radio de explosión" de esa combinación obtiene una puntuación alta.

La "Reunión" y el "Grafo de Influencia"

Aquí es donde se vuelve complicado. El artículo argumenta que no podemos simplemente mirar lo que un agente de IA puede hacer por sí solo. Tenemos que mirar con quién puede hablar.

Los autores introducen la idea de una Reunión.

Reunión de Recursos: El Agente A escribe una nota en una pizarra y el Agente B lee esa misma pizarra. Se "reunieron" en la pizarra.
Reunión de Agente a Agente (A2A): El Agente A y el Agente B tienen un canal de chat directo. El artículo es muy conservador aquí: incluso si el chat parece unidireccional, los autores asumen que el Agente B podría influir en el Agente A de alguna manera (tal vez enviando un mensaje truculento o un resultado de herramienta). Por lo tanto, lo tratan como una calle de doble sentido.

Una vez que sabemos quién se "reunió", calculamos un Potencial de Influencia. Este es un puntaje de cuánto "alcance estructural" cubren sus acciones combinadas. Si el Agente A escribe en una bóveda sensible y el Agente B lee un informe sensible, y se reunieron, su potencial de influencia es alto.

Luego, trazamos un mapa llamado Grafo de Influencia. Solo dibujamos una línea (un arco) entre dos agentes si:

Tuvieron una "Reunión".
Su Potencial de Influencia es superior a un determinado Umbral ( $\theta$ ).

El artículo es cuidadoso al decir que este umbral ( $\theta$ ) no es un número mágico encontrado por una computadora. Es una elección de política tomada por un jefe de seguridad humano, calibrada contra un "catálogo" de todas las combinaciones de acciones posibles en la empresa.

La Trampa de la "Colusión"

La parte más aterradora de la teoría es el Predicado de Colusión. Esta es una prueba para ver si un grupo de agentes podría aliarse para hacer algo malo, incluso si ningún agente por sí solo está haciendo nada malo.

El artículo identifica tres formas en las que los agentes pueden "coludir" en este grafo:

Composición de Autorización: El Agente A tiene el poder de aprobar una solicitud, y el Agente B tiene el poder de ejecutarla. Si A puede influir en B (o viceversa), pueden eludir las reglas.
Manipulación de Decisiones: El Agente A puede influir en el Agente B, y el Agente B tiene el poder de aprobar algo. A puede engañar a B para que apruebe una mala decisión.
Exposición de Dominios Cruzados: El Agente A puede acceder al dominio de "Finanzas" y el Agente B puede acceder al dominio de "Ingeniería". Si están conectados en el grafo, podrían mezclar accidentalmente (o maliciosamente) estos mundos de una manera que las reglas decían que no debía suceder.

Lo que el Artículo Descarta (Las "Zonas Prohibidas")

Es crucial entender lo que esta teoría no hace.

NO es un monitor en tiempo de ejecución. El artículo establece explícitamente que este es un análisis estático en tiempo de diseño. Es como revisar los planos de un edificio antes de construirlo. No observa a los agentes en tiempo real para ver si realmente están hablando. Solo dice: "Si los planos lucen así, hay un riesgo".
No prueba que ocurrió un delito. Encontrar un "testigo de colusión" en el grafo no significa que los agentes hayan hecho algo malo. Solo significa que la configuración lo permite. Es una "bandera roja" para que los ingenieros de seguridad revisen los permisos.
No le importa el "cómo" de la acción. El artículo admite que una acción de "lectura" y una de "eliminación" sobre el mismo archivo tienen la misma "distancia estructural" (cero) en su matemática. La teoría se centra en la estructura de los permisos, no en el tipo específico de operación (como si es una eliminación destructiva o una lectura inofensiva).

El Veredicto: Una Nueva Red de Seguridad

El artículo concluye que el Mínimo Privilegio sigue siendo necesario, pero es insuficiente para estos agentes de IA inteligentes y conectados. Puedes darle a un agente los permisos "mínimos", pero si ese agente puede hablar con otro agente que tiene diferentes permisos "mínimos", podrían combinarse para crear un permiso "máximo" que nadie pretendía.

Los autores proponen la Menor Autonomía como una regla complementaria. Pregunta: "¿Cuál es el 'radio de explosión' máximo de autoridad que este agente podría alcanzar, incluso a través de una cadena de amigos?".

El artículo proporciona una guía paso a paso para que los ingenieros de seguridad construyan este modelo:

Mapear el árbol de la empresa y etiquetar la sensibilidad de cada nodo.
Listar todas las acciones posibles.
Establecer un umbral ( $\theta$ ) basado en la tolerancia al riesgo de la empresa.
Dibujar el grafo de influencia.
Buscar "testigos de colusión".

Si el grafo muestra un riesgo de colusión, los ingenieros deben rediseñar el flujo de trabajo, cambiar los permisos o bajar el umbral. El artículo sugiere que esta es una forma de detectar riesgos "invisibles" que los controles de permisos estándar pasan por alto, pero admite que el modelo depende en gran medida de la precisión de las entradas (el árbol, las etiquetas y las definiciones de las reuniones).

En resumen, el artículo sugiere que en un mundo de agentes de IA, no podemos limitarnos a revisar quién tiene las llaves. Tenemos que revisar quién puede llamar a la puerta de quién y qué sucede cuando combinan sus llamadas. Es una nueva forma de pensar en la seguridad, una que trata a toda la red de agentes como un único organismo potencialmente peligroso que debe ser mantenido bajo control.

Resumen Técnico: Una Teoría de la Menor Autonomía en la IA

1. Planteamiento del Problema

El principio de Menor Privilegio, establecido en la década de 1970, dicta que una identidad debe poseer solo los permisos estrictamente necesarios para su tarea. Si bien es efectivo para usuarios humanos y procesos de software estáticos, este documento argumenta que el Menor Privilegio es insuficiente para los sistemas de IA agénticos.

A diferencia de los actores pasivos, los sistemas agénticos poseen capacidades dinámicas: pueden secuenciar acciones, delegar tareas, transformar salidas y activar flujos de trabajo a través de los límites del sistema. En consecuencia, una configuración donde los permisos individuales parecen inocuos de forma aislada puede crear un riesgo significativo cuando se combinan. Dos propiedades específicas de los sistemas agénticos exacerban esto:

Gatekeeping (Control de Acceso): Un agente puede carecer de acceso directo a datos sensibles, pero retener la autoridad para aprobar o habilitar el acceso de otro principal.
Composición: El alcance operativo de un agente puede depender no solo de sus propios permisos, sino de las acciones de otros agentes a los que puede influir.

Las revisiones actuales de permiso por permiso no logran capturar la "exposición de autoridad" que surge de estas interacciones multi-agente, lo que requiere un cambio del análisis de permisos estáticos al análisis de la autonomía.

2. Metodología y Marco Formal

El documento propone una teoría formal de la Menor Autonomía, estructurada en tres capas: la capa de Acción, la capa de Agente y la capa de Sistema.

2.1 La Capa de Acción: Radio de Explosión Composicional

El marco modela el sistema de información empresarial como un árbol dirigido $T$ (una jerarquía ultramétrica) donde los nodos hoja representan recursos y los nodos internos representan alcances organizacionales.

Lattice de Sensibilidad: A cada nodo se le asigna una etiqueta local $\ell(v) = (flow, axes)$ , donde $flow \in \{\emptyset, GK, Ac\}$ (representando ausencia de flujo, Gatekeeper o Accessor) y $axes \subseteq \{C, I\}$ (Confidencialidad, Integridad).
Etiquetas Acumuladas por Trayectoria: Las etiquetas se propagan hacia arriba en el árbol utilizando un operador de unión $\otimes$ , acumulando la sensibilidad a lo largo de la trayectoria desde la raíz hasta el recurso.
Radio de Explosión ( $d(a, b)$ ): Se define una distancia pseudoultramétrica entre dos acciones $a$ y $b$ . Esta combina la distancia estructural en la jerarquía (basada en la profundidad del Ancestro Común Más Cercano) con un multiplicador derivado de las etiquetas de sensibilidad de los nodos de recursos de las acciones. Esta métrica cuantifica la "extensión estructural" de una interacción potencial.

2.2 La Capa de Agente: Grafo de Influencia

La teoría eleva las métricas de nivel de acción al nivel de agente utilizando un Grafo de Influencia de Agentes Dirigido $G(\theta)$ .

Encuentros (Meetings): Un arco entre los agentes $U$ $U$ y $V$ $V$ se basa en un "encuentro", definido como:
1. Un Encuentro de Recurso Dirigido: $U$ puede escribir en un recurso que $V$ puede leer.
2. Un Encuentro A2A No Dirigido: $U$ y $V$ tienen una vía de comunicación configurada (tratada conservadoramente como bidireccional para considerar la influencia inversa vía prompts o artefactos).
Potencial de Influencia ( $\Phi$ ): Para que un encuentro genere un arco, el radio de explosión máximo entre los conjuntos de acciones relevantes (por ejemplo, las escrituras de $U$ y las lecturas de $V$ ) debe alcanzar o exceder un umbral de política $\theta$ .
Autonomía Efectiva: Definida como el conjunto de todas las acciones asignadas a un agente más las acciones de cualquier agente alcanzable mediante trayectorias dirigidas en $G(\theta)$ . Esto representa una abstracción conservadora de la exposición de capacidad.

2.3 La Capa de Sistema: Predicado de Colusión

El marco define un Predicado de Colusión para detectar composiciones problemáticas entre múltiples agentes. Un conjunto de agentes $S$ es marcado como colusorio si dos agentes distintos $U, V \in S$ satisfacen la alcanzabilidad dirigida en $G(\theta)$ Y cumplen una de tres condiciones:

Composición de Autorización: $U$ tiene autoridad de gatekeeping sobre un recurso al que $V$ accede ($Gates(U, V)$).
Manipulación de Decisión: $V$ tiene autoridad de gatekeeping sobre un recurso al que $U$ accede ($Gates(V, U)$).
Exposición de Dominio Cruzado: $U$ y $V$ pueden influir en agentes que poseen capacidades en dominios de seguridad separados (por ejemplo, Finanzas vs. Ingeniería).

3. Contribuciones Clave

El documento realiza tres contribuciones primarias:

Radio de Explosión Composicional: Una métrica formal que combina una jerarquía empresarial ultramétrica con una estructura de sensibilidad basada en un lattice para medir la separación estructural entre acciones.
Grafo de Influencia Dirigido y Predicado de Colusión: Un modelo basado en grafos donde los arcos están condicionados por encuentros de recursos o de comunicación y un umbral de política $\theta$ . Esto incluye un mecanismo para detectar composición de autorización, manipulación de decisión y composición de capacidades de dominio cruzado.
Procedimiento de Diseño: Una metodología paso a paso para que los ingenieros de seguridad traduzcan el modelo a la práctica, incluyendo la calibración del umbral $\theta$ y un presupuesto de autonomía individual $\tau_{aut}$ .

4. Resultados y Ejemplo Ilustrativo

El documento proporciona un procedimiento de diseño paso a paso y un ejemplo ilustrativo que involucra una jerarquía empresarial con los dominios de Finanzas, Ingeniería, Cumplimiento y Legal.

Calibración: El ejemplo demuestra cómo seleccionar $\theta$ basándose en un "perfil de radio de catálogo" (la distribución de radios de explosión en el sistema) para distinguir entre interacciones de bajo impacto y alto impacto.
Escenarios de Detección: El ejemplo identifica con éxito:
- Violaciones de Presupuesto Individual: Agentes cuya autonomía directa o efectiva excede el radio de explosión permitido ( $\tau_{aut}$ ).
- Colusión: Pares de agentes donde la influencia dirigida combinada con roles de gatekeeping crea un riesgo (por ejemplo, un agente que influye en un gatekeeper que luego autoriza el acceso a un recurso que el primer agente puede leer).
Diferenciación: El ejemplo distingue entre "influencia material" (que cumple el umbral pero no colude) y configuraciones "positivas para colusión", mostrando cómo el marco aísla vectores de riesgo específicos.

5. Significación y Reivindicaciones

El documento posiciona la Menor Autonomía no como un reemplazo del Menor Privilegio, sino como un criterio de diseño complementario.

Análisis Estático: El marco es una herramienta de análisis estático en tiempo de diseño. Identifica configuraciones que ameritan revisión, pero no pretende probar procedencia, autoridad de comando o trazas de ejecución realizadas.
Abstracción Conservadora: El modelo es intencionadamente conservador. Trata las rutas de influencia potencial como exposiciones de capacidad en el peor de los casos. Un resultado positivo indica una configuración que requiere revisión de políticas, mediación en tiempo de ejecución o rediseño, en lugar de confirmar un ataque activo.
Alcance: La teoría aborda el desafío específico de cómo los permisos distribuidos entre múltiples agentes pueden combinarse a través de alcances organizacionales y dominios de seguridad, un vacío que el Control de Acceso Basado en Roles (RBAC) tradicional o los sistemas de autorización de herramientas en tiempo de ejecución no cubren.

El documento concluye que, si bien el Menor Privilegio sigue siendo necesario, no puede caracterizar la exposición de autoridad inherente a los sistemas de IA agénticos. La teoría propuesta proporciona un método estructurado para identificar y auditar estas interacciones de alto impacto entre múltiples agentes.