"¿Puedo enviar este correo?" Sí. "¿Puedo completar este formulario?" Sí. "¿Puedo acceder a tu cuenta?" Sí. A la décima aprobación ya no lees. A la vigésima, buscas una opción para que no te pregunte más. Los programadores hasta tienen un apodo para cuando la IA hace todo sin pedir nada: YOLO mode, de "you only live once".
Ahora cualquier IA quiere actuar por ti: ChatGPT navega y compra, Gemini completa formularios en Chrome, Copilot responde correos, Claude toca tus archivos. Todos piden tu aprobación antes. La cuestión es si alguien del otro lado está leyendo.
Noventa y siete síes seguidos
Quien mejor midió este comportamiento fue Anthropic. En marzo publicó que los usuarios de Claude Code, su agente para programadores, aceptaban el 93% de las solicitudes de permiso. En agosto ya eran el 97%. El dato más revelador: la gente rechaza el 39% de los planes que propone la IA, pero solo el 3% de los permisos individuales. El plan, lo leemos. La solicitud número 47, nadie la lee.
Y empeora con el tiempo. Al comienzo de una sesión, las personas bloqueaban cerca del 17% de las acciones peligrosas. Después de 50 solicitudes, ese número caía a un 5%. La respuesta de Anthropic fue poner otra IA a aprobar en lugar del humano.
No hace falta programar para reconocerse ahí. Es el mismo reflejo de quien acepta las cookies de todos los sitios y los términos de uso de todas las aplicaciones sin leer una línea.
Todo agente tiene un "¿puedo?"
Fíjate cómo lo diseñaron los proveedores. El agente de ChatGPT pide permiso antes de acciones con consecuencias, como comprar o enviar un correo, y el propio Sam Altman recomendó no darle más que el acceso mínimo ni dejarlo responder todos tus correos sin preguntar. El modo de navegación automática de Gemini en Chrome pide confirmación antes de enviar mensajes, modificar datos, enviar formularios y agendar eventos. Copilot hace lo mismo antes de enviar cualquier mensaje.
El propio Google, en la página de ayuda de la función, dice que supervisar las tareas es la forma más importante de protegerse, y pide que revises con atención cada solicitud de confirmación. Traducido: toda la seguridad quedó tercerizada en tu clic.
La página que le da órdenes a tu asistente
El agente lee todo lo que encuentra en el camino: páginas, correos, PDF, comentarios. Si una de esas cosas trae una instrucción escondida, puede obedecerla. Eso se llama prompt injection.
El ejemplo más didáctico vino de Brave en 2025. Los investigadores escondieron instrucciones en un comentario de Reddit. Cuando el usuario le pedía al navegador con IA Comet, de Perplexity, que resumiera la página, el asistente seguía las órdenes escondidas: sacaba el correo de la cuenta, iba a Gmail y leía el código de acceso de un solo uso. El usuario solo había pedido un resumen.
De tu lado, lo que aparece es solo otro "¿Puedo continuar?", igual a los otros cuarenta y seis del día.
La solicitud de permiso solo protege mientras la lees. Después se vuelve decoración.
El "Permitir acceso" que nadie revoca
Hay un botón todavía más peligroso, y es anterior a los agentes: la pantalla de consentimiento. Una app, una extensión o un "asistente de IA" pide "leer tus correos y archivos", la pantalla es la de Google o la de Microsoft, la dirección es legítima, y haces clic en Permitir.
Desde ahí la app tiene acceso propio a tus cuentas. Este fraude tiene nombre, consent phishing, y el detalle cruel es que la autenticación en dos pasos no ayuda y cambiar la contraseña no elimina el acceso. Solo se va cuando alguien revoca el permiso. Haz la prueba: ¿cuántas apps tienen acceso hoy a tu cuenta de Google o de Microsoft? ¿Lo sabes?
Noción de riesgo en tres preguntas
Antes de aprobar, tres preguntas resuelven casi todo:
- ¿Se puede deshacer? Un borrador, sí. Un correo enviado, una compra pagada o un archivo compartido, no.
- ¿Sale de ti hacia alguien? Mensajes, formularios, publicaciones, pagos, datos enviados a un sitio: todo lo que sale merece lectura.
- ¿De quién fue la idea? Si lo pediste tú, perfecto. Si el agente "decidió" después de leer una página o un correo, desconfía.
| La IA pide... | Puede ir en automático | Léelo antes de aprobar |
|---|---|---|
| Resumir, buscar o comparar | Sí | |
| Crear borrador de texto, correo o presentación | Sí | |
| Enviar correo, mensaje o publicar en redes sociales | Siempre | |
| Completar y enviar un formulario | Sí | |
| Comprar, pagar o suscribirse a un servicio | Siempre | |
| Compartir un archivo o cambiar quién tiene acceso | Siempre | |
| Entrar a una cuenta con tu contraseña guardada | Sí | |
| "Permitir acceso" de una app o extensión a tus cuentas | Siempre, y revisa la lista de vez en cuando |
Y un hábito simple: dale a cada agente solo el acceso que necesita para esa tarea. Nadie le entrega las llaves de toda la casa al electricista para cambiar un enchufe.
El sí que todavía vale algo
Los agentes van a pedir cada vez menos aprobación, y eso es bueno: menos solicitudes, más atención en cada una. Pero ninguna IA sabe qué es irreversible en tu vida o en tu empresa. Esa lista es tuya, y vale la pena escribirla antes del próximo "sí" automático.
Si tú o tu equipo ya están usando agentes con acceso a correo, archivos o pagos y nadie definió qué puede pasar sin aprobación, escríbeme y lo conversamos.
Fuentes
- Claude Code auto mode: a safer way to skip permissions, Anthropic
- Anthropic Bets Claude Code Users Are Safer With Fewer Permission Prompts, TechWyse
- OpenAI just launched its new ChatGPT agent, PC Gamer
- Ask Gemini in Chrome to complete tasks for you with auto browse, Google
- Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet, Brave
- OAuth Consent Phishing Explained, Inforcer
