Google ADK y agentes de IA zero trust: checklist de seguridad para producción

Fuente: https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/

Resumen útil: los agentes en producción necesitan límites reales

Un prompt de sistema no es una barrera de seguridad. Es una instrucción para un modelo probabilístico y puede fallar ante prompt injection, cambios de modelo o instrucciones ambiguas. La propuesta de Google traslada los controles críticos fuera del prompt. El patrón combina identidad criptográfica para cada escritura importante, ejecución aislada para código generado y gateways deterministas que revisan entradas, salidas y llamadas a herramientas.

Por qué la seguridad de agentes concentra interés

Los agentes de IA ya aparecen en soporte, analítica, pipelines de contenido y operaciones de desarrollo. La pregunta no es solo si responden bien. También importa qué ocurre cuando reciben una instrucción maliciosa. En el ejemplo de Google, un agente de reembolsos calcula importes y escribe en un libro contable. En un ataque, el usuario pide ignorar reglas, devolver una suma excesiva y mostrar variables de entorno. Si la aplicación confía en el modelo, el atacante se acerca a la base de datos y al runtime.

Primera capa: firma cada escritura sensible

No conviene que todos los procesos usen la misma conexión amplia a la base de datos. Cada agente debe firmar con su propia clave los payloads que cambian estado, y la API o la capa de ingreso debe verificar la firma antes de confirmar. Así se sabe qué agente creó el registro, cuál era el contenido aprobado y si la fila fue alterada después. Pagos, permisos, moderación y publicación automática merecen esta protección.

Segunda capa: aísla el código generado

Muchos agentes crean scripts pequeños para cálculos, parsing o limpieza de datos. Ejecutarlos con permisos normales del servidor es peligroso. Google menciona aislamiento tipo gVisor, red desactivada, capacidades eliminadas, límites de memoria y timeouts cortos. Incluso un equipo pequeño debería usar un runner dedicado, retirar secretos de producción, bloquear salida de red, registrar entradas y salidas y tratar todo código generado como no confiable.

Tercera capa: valida prompts, respuestas y herramientas

Un gateway de política puede bloquear frases de jailbreak, detectar posibles secretos, imponer límites de reembolso, validar SQL y exigir revisión humana en acciones riesgosas. Debe ser menos creativo que el modelo y más predecible. Al elegir herramientas de IA, pregunta por identidades separadas, logs inmutables, sandbox, límites administrativos y pruebas contra prompt injection. Puedes comparar utilidades en el directorio de software de BTTC y leer más en el blog de BTTC.

Preguntas frecuentes

¿Google ADK es obligatorio?

No. ADK es el ejemplo, pero identidad, sandbox, gateways y auditoría sirven con cualquier framework de agentes.

¿Un mejor prompt resuelve prompt injection?

No. Las instrucciones ayudan, pero no sustituyen controles externos obligatorios.

¿Cuál es el primer paso para un equipo pequeño?

Quitar credenciales amplias del runtime del agente y añadir gateway y logs a las acciones de alto riesgo.

Conclusión

El diseño zero trust para agentes de IA ya es un requisito de producción. Da al agente una identidad estrecha, aísla su ejecución, verifica sus herramientas y conserva evidencia para auditorías.