OWASP LLM06 Excessive Agency: qué evaluar cuando un agente puede actuar

Excessive Agency aparece cuando un sistema basado en LLM tiene más autonomía, herramientas o permisos de los necesarios. El riesgo no es que el modelo responda mal, sino que pueda actuar mal: enviar correos, borrar datos, crear usuarios, ejecutar comandos o modificar configuraciones.

Qué se debe evaluar

• Lista de herramientas disponibles para cada rol y flujo.
• Permisos reales de cada herramienta: lectura, escritura, eliminación o ejecución.
• Acciones irreversibles o de alto impacto.
• Confirmaciones humanas y límites transaccionales.
• Separación entre recomendación y ejecución.
• Auditoría de herramientas llamadas por el agente.

Cómo ponerlo a prueba

• Pedir al agente acciones fuera del objetivo inicial.
• Inducir una acción sensible mediante contenido externo o prompt injection.
• Probar si puede operar sobre recursos de otro usuario o tenant.
• Intentar encadenar herramientas para lograr un resultado no autorizado.
• Verificar límites de monto, cantidad, frecuencia y alcance.
• Confirmar que acciones sensibles exijan aprobación explícita fuera del LLM.

Evidencia de control

Debe existir una matriz de herramientas por rol, logs de ejecución, límites por acción y pruebas que demuestren que el agente no puede exceder su mandato. Las herramientas deben aplicar permisos propios; no basta con pedirle al modelo que “no lo haga”.

La autonomía debe ser proporcional al riesgo de la acción.

Fuente base: OWASP Top 10 for LLM Applications 2025, LLM06 Excessive Agency.