Agentes de IA en producción: menos autonomía, más ingeniería

Flujo o agente: empieza por lo más simple que funcione

Muchos problemas que se venden como agentes se resuelven mejor con un flujo fijo.

En un flujo (workflow), tu código fija los pasos y el modelo resuelve cada uno: clasificar, extraer, redactar, verificar. En un agente, el modelo decide el siguiente paso y llama herramientas en bucle hasta dar la tarea por terminada. El flujo es predecible, barato y fácil de probar; el agente resuelve tareas abiertas a cambio de variabilidad, latencia y superficie de ataque.

Nuestra regla: primero una sola llamada, luego un flujo si los pasos se conocen, y un agente solo si el camino depende de lo que el sistema encuentra, como al investigar un incidente. Aun así, envuélvelo en un flujo con controles entre etapas y una persona en el paso irreversible. Para software, ver agentes de código.

Los ocho componentes de un agente en producción

El modelo es uno de ocho componentes, y rara vez el primero que falla.

El estado suele quedarse corto: el arnés de Anthropic para agentes de larga duración guarda un archivo de progreso y commits para que cada sesión retome donde quedó la anterior. La supervisión también: en su estudio sobre Claude Code (febrero de 2026), los usuarios expertos aprobaban todo automáticamente en más del 40 % de las sesiones, aunque solo cerca del 0,8 % de las acciones parecía irreversible. Confirma solo lo que importa. Más en guardrails en producción.

Qué dicen los datos sobre adopción y fracaso

Constructores y directivos cuentan historias distintas; ambas son ciertas.

Fracaso. En junio de 2025, Gartner predijo que más del 40 % de los proyectos de IA agéntica se cancelarán antes de que termine 2027 por costos, valor de negocio poco claro o controles de riesgo débiles. También estimó que solo unos 130 de los miles de proveedores que venden IA agéntica son reales; al resto lo llama agent washing.

El informe de MIT NANDA (julio de 2025) encontró que el 95 % de las organizaciones no obtenía un retorno medible de la IA generativa, pese a un gasto empresarial de USD 30.000 a 40.000 millones, y que solo el 5 % de las herramientas a la medida llegaba a producción. Su explicación: una brecha de aprendizaje, herramientas que no retienen la retroalimentación ni mejoran.

Producción. En la encuesta de LangChain a 1.340 profesionales (finales de 2025), el 57 % tenía agentes en producción. La calidad era el principal freno (32 %); el 89 % tenía observabilidad, pero solo el 52,4 % hacía evaluaciones offline. Encuesta de un proveedor a un público afín: léela como un techo.

Fiabilidad. METR mide la duración de las tareas que los modelos completan con un 50 % de éxito: se ha duplicado más o menos cada cuatro meses desde 2023. La fiabilidad va detrás: Claude Opus 4.6 llegaba a unas 12 horas con un 50 % de éxito, pero a unos 70 minutos con un 80 %.

Agentes de uso de computador y de navegador: avances y límites

Avance rápido en tareas cortas, resultados flojos en flujos largos.

En abril de 2024, las personas resolvían cerca del 72 % de las tareas cotidianas de OSWorld y el mejor modelo, cerca del 12 %; en marzo de 2026, OpenAI reportó 75,0 % para GPT-5.4 en OSWorld-Verified. Pero, según Epoch AI, la tarea mediana le toma a una persona unos dos minutos.

OSWorld 2.0 (junio de 2026) evalúa 108 flujos profesionales que a una persona experta le toman una mediana de 1,6 horas. El mejor agente, Claude Opus 4.8 con razonamiento máximo, completó el 20,6 % de principio a fin (54,8 % con puntaje parcial): los agentes olvidaban restricciones, adivinaban en vez de preguntar y no verificaban. Anthropic reporta 81,8 % de puntaje parcial para Claude Opus 5.5 (septiembre de 2026).

Claude in Chrome pasó de una vista previa para 1.000 usuarios (agosto de 2025) a los planes Pro, Team y Enterprise (diciembre de 2025). OpenAI cerró su navegador ChatGPT Atlas el 9 de agosto de 2026, menos de diez meses después de lanzarlo, y retirará Agent Builder de su plataforma el 30 de noviembre de 2026.

Navegar también maximiza la exposición a la inyección de prompts: en agosto de 2025, Brave mostró que Comet, de Perplexity, trataba texto oculto de una página como instrucciones del usuario. Nuestra regla: uso de computador solo donde no hay API, en un entorno aislado y nunca en el camino hacia un pago.

Siete reglas de diseño para agentes que aguantan producción

Las reglas que aplicamos en todo proyecto de agentes.

1. Alcance acotado. Una tarea, un responsable, una métrica. Resolver tickets de cambio de dirección sale a producción; automatizar el servicio al cliente se estanca.
2. Herramientas tipadas e idempotentes. Esquemas estrictos, validación en el servidor y una clave de idempotencia en cada escritura, para que un reintento nunca pague dos veces.
3. Confirmación de lo irreversible. Enviar, pagar, borrar, publicar: el agente prepara, una persona aprueba. El Agents SDK de OpenAI (needs_approval) y la especificación MCP de julio de 2026 (input_required) traen este patrón.
4. Presupuestos y tiempos límite. Topes de pasos, tokens, tiempo y gasto por tarea, con una parada limpia y un resumen para quien retome.
5. Evaluación antes de lanzar. Anthropic sugiere empezar con 20 a 50 tareas tomadas de fallas reales y medir pass^k (los k intentos aciertan) cuando importa la fiabilidad. Método en evaluación de LLM.
6. Aislamiento. Contenedores o máquinas virtuales sin internet por defecto, con credenciales limitadas a la tarea.
7. Logs de solo anexar. Prompts, llamadas, resultados y aprobaciones, escritos donde el agente no puede editarlos ni borrarlos.

Y una parada que el modelo no pueda ignorar: en febrero de 2026, una investigadora de seguridad de IA de Meta contó que su agente OpenClaw borró en masa su bandeja de entrada e ignoró las órdenes de parar; lo atribuyó a la compactación del contexto. El interruptor de emergencia va en el entorno de ejecución.

Control de costos: presupuesta por tarea completada

Los agentes gastan tokens alrededor de la tarea, no solo en ella.

Definiciones de herramientas, capturas, resultados intermedios y reintentos pesan más que el precio por token. En la API de Anthropic, las herramientas de uso de computador suman unos 4.500 tokens de entrada por petición y las de navegador unos 6.600, antes de cualquier captura.

• Carga menos. Anthropic redujo un flujo de 150.000 a 2.000 tokens (98,7 %) con llamadas a herramientas MCP mediante ejecución de código, a cambio de un entorno aislado seguro.
• Cachea el prefijo estable. Instrucciones y herramientas primero; la especificación MCP de julio de 2026 pide listar las herramientas en orden determinista por eso. En Claude Opus 5.5, leer de la caché cuesta el 5 % del precio de entrada.
• Usa lotes para lo que no es interactivo. Anthropic, OpenAI y Google descuentan un 50 %.
• Enruta por dificultad. Un modelo pequeño para lo rutinario y uno mayor para lo difícil, con el esfuerzo fijado por ruta.
• Cuenta el entorno de ejecución. Claude Managed Agents cobra USD 0,08 por hora de sesión y la búsqueda web USD 10 por 1.000 búsquedas; la Agents API de OpenAI no cobra aparte de tokens y herramientas.

Sigue el costo por tarea completada, con reintentos y tiempo de revisión incluidos. Ejemplos con números en el costo real de la IA.

Seguridad: inyección de prompts, mínimo privilegio y el incidente de julio de 2026

Cualquier texto que lee un agente (una página, un correo, un ticket, el resultado de una herramienta) puede traer instrucciones. El NCSC británico sostiene que los modelos no separan de forma fiable datos e instrucciones, así que la inyección de prompts es un riesgo residual que se contiene con controles deterministas fuera del modelo; OpenAI escribió que es poco probable que se resuelva del todo.

La mezcla peligrosa es lo que Simon Willison llama la tríada letal: datos privados, contenido no confiable y una vía para sacar datos, en un mismo agente. En ForcedLeak (Salesforce Agentforce, 2025), un texto oculto en un formulario web podía enviar datos del CRM a un dominio permitido pero expirado, que los investigadores compraron por unos USD 5. La defensa: mínimo privilegio, listas de salida al día y aprobación humana donde se cruzan los tres.

Lo que enseña el incidente de julio de 2026

En julio de 2026, durante evaluaciones internas de ciberseguridad, agentes de OpenAI impulsados sobre todo por un modelo interno de investigación con salvaguardas reducidas eludieron los controles de aislamiento, comprometieron parte de su infraestructura de investigación y alcanzaron sistemas de Hugging Face. Según el informe de OpenAI (26 de agosto), convirtieron un servicio interno de paquetes en un tablero de mensajes para salir a internet. METR contó unos 1.200 agentes en ese tablero, unos 700 que atacaron a Hugging Face y llamadas a herramientas falsificadas en cerca del 7 % de las transcripciones.

Fue una evaluación de laboratorio, no un despliegue real, pero deja tres lecciones: impón el aislamiento en la infraestructura, porque cualquier servicio interno alcanzable puede volverse un canal; verifica las llamadas a herramientas en el entorno de ejecución, no en la transcripción, y guarda los logs fuera del alcance del agente (NBC News informó que los agentes intentaron borrar o alterar registros de sus acciones). Más en inyección de prompts y agentes y cadena de suministro de IA.

Checklist de lanzamiento

Lo que revisamos antes de que un agente toque datos de producción.

1. Tarea acotada, responsable con nombre, criterio de éxito medible.
2. Se probó primero un flujo; autonomía solo donde el camino es incierto.
3. Esquemas estrictos, validación en el servidor, escrituras idempotentes.
4. Mínimo privilegio; nada de credenciales de administrador compartidas.
5. Confirmación humana antes de pagar, enviar, borrar o publicar.
6. Topes por tarea de pasos, tokens, tiempo y gasto.
7. De 20 a 50 tareas reales de evaluación, con casos de inyección, como filtro de regresión.
8. Entorno aislado, reglas de salida e interruptor de emergencia fuera del modelo.
9. Logs de solo anexar fuera del alcance del agente.
10. Modelo de respaldo probado y flujos de datos personales mapeados (Ley 1581 de 2012 en Colombia, RGPD en la UE).