25 conceptos agénticos para entender cómo trabajan los agentes de IA

Un agente no es sólo un chat con más permisos

Un chatbot responde. Un sistema agéntico puede observar un entorno, elegir una acción, usar una herramienta, comprobar el resultado y decidir el siguiente paso. La diferencia no está en una interfaz más llamativa, sino en el bucle que conecta lenguaje, estado y efectos reales.

Esa capacidad añade utilidad y riesgo al mismo tiempo. Cuando un modelo puede consultar una base de datos, abrir una tarea o publicar en un CMS, una frase ambigua deja de ser únicamente una mala respuesta: puede convertirse en una acción incorrecta. Por eso conviene dominar el vocabulario antes de conectar herramientas. Los siguientes 25 conceptos sirven para diseñar el sistema y también para revisarlo.

1 a 5: qué decide y qué debe lograr

1. Sistema agéntico. Es la combinación de modelo, instrucciones, herramientas, estado y reglas de ejecución que permite elegir pasos según lo que ocurre. No es sinónimo de autonomía ilimitada.

2. Workflow determinista. Es un recorrido fijado en código: primero A, después B y, si falla, C. Puede incluir modelos, pero el modelo no decide libremente la arquitectura. Es preferible cuando el proceso es estable y el costo de improvisar es alto.

3. Modelo. Es el componente que interpreta el contexto y propone respuestas o acciones. No conoce por sí solo el estado actual de tu negocio ni obtiene permisos mágicos: recibe lo que el sistema le entrega.

4. Instrucciones. Definen el papel, los límites y las prioridades del agente. Una instrucción útil especifica qué puede hacer, qué no puede hacer, qué fuentes son válidas y cuándo debe detenerse.

5. Objetivo. Describe el resultado que debe quedar verdadero, no sólo la próxima actividad. “Revisar el lanzamiento” es vago. “Identificar bloqueos, asignar dueño y entregar una lista validada antes de las 16:00” tiene una condición observable.

Bucle operativo de un agente: solicitud, razonamiento, uso de herramientas, memoria, evaluación y revisión humana forman un ciclo controlado.

6 a 10: cómo conserva contexto sin inventar memoria

6. Criterio de término. Es la prueba que permite afirmar que el objetivo terminó. Puede ser un test verde, un registro creado, un documento aprobado o una verificación remota. Sin este criterio, el agente puede confundir actividad con avance.

7. Contexto. Es la información disponible en una interacción: mensajes, documentos, resultados de herramientas e instrucciones. Es una selección, no una copia perfecta de todo lo que alguna vez ocurrió.

8. Estado. Son los datos duraderos que describen dónde está el proceso: borrador, aprobado, programado, bloqueado. El estado importante debe vivir en un sistema canónico y no depender de que el modelo “recuerde”.

9. Memoria. Es información recuperable entre conversaciones, como preferencias o decisiones anteriores. Ayuda a mantener continuidad, pero no sustituye un registro transaccional ni debe usarse como prueba de que una acción ocurrió.

10. Sesión. Agrupa una ejecución o una conversación con su historial operativo. Una sesión permite continuar el trabajo, limitar cuánto contexto se recupera y separar tareas que no deberían contaminarse entre sí.

11 a 15: herramientas, MCP y superficies de acción

11. Herramienta. Es una función que el agente puede invocar para leer o cambiar un sistema. Su contrato debe decir qué recibe, qué devuelve y qué efecto produce. “Gestionar WordPress” es demasiado amplio; “crear un borrador sin publicarlo” es auditable.

12. Llamada de herramienta. Es una invocación concreta con argumentos concretos. Debe validarse antes de ejecutar y registrar un resultado estructurado. Una herramienta segura rechaza parámetros inesperados en vez de adivinarlos.

13. MCP. Model Context Protocol estandariza la conexión entre clientes y servidores que ofrecen contexto o capacidades. Conectar un servidor MCP no vuelve segura una integración. La identidad, la autorización y los límites siguen siendo responsabilidad del despliegue.

14. Recurso. En MCP, un recurso entrega datos o contenido que la aplicación puede incorporar al contexto. Leer un documento y modificarlo son operaciones distintas; esa separación ayuda a ofrecer acceso de sólo lectura cuando basta.

15. Prompt reutilizable. En MCP, un prompt puede representar una plantilla seleccionada por la persona usuaria. No equivale a una herramienta con efectos. Diferenciar instrucciones, recursos y acciones evita que una comodidad de interfaz se transforme en permiso de escritura.

16 a 20: delegación y orquestación

16. Orquestador. Es el componente que divide el trabajo, elige especialistas y reúne resultados. Puede ser código, un modelo o una mezcla. Su responsabilidad no es hacer todo, sino conservar el objetivo y resolver dependencias.

17. Agente especialista. Tiene instrucciones y herramientas acotadas para una tarea, como investigar fuentes, revisar seguridad o editar estilo. La especialización reduce contexto irrelevante y permite permisos distintos por función.

18. Handoff. Transfiere el control de la conversación o ejecución a otro agente. El especialista pasa a ser el actor activo. Conviene cuando el nuevo papel debe responder directamente y asumir la siguiente etapa.

19. Agente como herramienta. El orquestador consulta a un especialista, recibe su resultado y conserva el control. Es útil cuando una sola voz debe combinar varias contribuciones y responder por el resultado final.

20. Paralelización. Ejecuta tareas independientes al mismo tiempo. Acelera investigación o revisión, pero no resuelve dependencias. Si tres agentes editan el mismo artefacto sin una estrategia de integración, sólo producen tres conflictos más rápido.

21 a 25: control, seguridad y evidencia

21. Bucle agéntico. Es la secuencia observar, decidir, actuar y comprobar. Debe tener límites de iteraciones, tiempo o presupuesto. Un bucle sin condición de salida no es más autónomo: es menos gobernable.

22. Guardrail. Es una validación que acepta, modifica o bloquea entradas, salidas o llamadas de herramienta. Los controles que protegen una escritura deben ejecutarse antes del efecto, no sólo revisar el texto final.

23. Aprobación humana. Es un punto explícito donde una persona autoriza una acción de mayor impacto. La aprobación debe mostrar el objeto exacto, su versión, el alcance y la vigencia. “Haz lo necesario” no sirve como permiso permanente para todo.

24. Mínimo privilegio. Cada agente y credencial recibe sólo las capacidades requeridas para su función. El investigador puede leer fuentes; el editor crea versiones; el publicador conserva la única credencial de WordPress y sólo aparece durante una liberación controlada.

25. Observabilidad y evaluación. Una traza registra pasos, herramientas, handoffs y errores. Una evaluación compara el resultado con criterios. La traza explica qué pasó; la evaluación decide si estuvo bien. Ambas deben excluir secretos y datos innecesarios.

Dos controles que convierten el vocabulario en operación

La idempotencia evita repetir un efecto cuando llega dos veces la misma solicitud. Una clave estable permite reconocer que “publicar este paquete” ya fue procesado. No basta con pedirle al modelo que tenga cuidado: el receptor debe imponer la unicidad.

La reconciliación resuelve la escritura ambigua. Si una conexión se corta después de enviar una orden, el sistema no sabe todavía si el destino la aplicó. El estado correcto es “reconciliando”: inspeccionar el remoto, comparar identificadores y decidir con evidencia. Reintentar a ciegas puede duplicar publicaciones, pagos o mensajes.

Estos controles parecen detalles de backend, pero son parte del diseño agéntico. La autonomía útil no consiste en hacer más llamadas. Consiste en avanzar sin perder la posibilidad de demostrar qué ocurrió.

Ejemplo: conectar un agente con WordPress sin entregarle el sitio

WordPress aparecía en el 40,1% de los sitios medidos por W3Techs el 12 de octubre de 2026. Esa escala convierte cualquier integración editorial en una superficie que merece límites claros. No hace falta afirmar que WordPress es “el más atacado” para reconocer el riesgo: una credencial con demasiados permisos y una herramienta genérica amplían el impacto de un error.

Un patrón prudente separa seis responsabilidades. Primero, PostgreSQL conserva el artículo canónico, su versión y sus evidencias. Segundo, el agente investigador sólo lee fuentes. Tercero, el editor crea una versión nueva y no publica. Cuarto, una persona aprueba el hash exacto. Quinto, un publicador aislado recibe una contraseña de aplicación revocable y una autorización de un solo uso. Sexto, una lectura posterior confirma título, URL, fecha y medios antes de declarar el resultado verificado.

Las contraseñas de aplicación de WordPress están diseñadas para integraciones y pueden revocarse de manera individual. Eso es mejor que compartir la contraseña principal, pero no reemplaza el mínimo privilegio. La cuenta técnica debe tener un rol reducido, usar HTTPS y mantenerse fuera de los agentes que no publican. Si una herramienta MCP ofrece crear, editar, borrar y administrar plugins con la misma credencial, el problema no es MCP: es el contrato excesivo que se decidió exponer.

Un agente aislado atraviesa credenciales acotadas, controles de permiso, aprobación humana y auditoría antes de alcanzar un portal de publicación.

Una lista corta antes de llamar “agente” a tu sistema

1. Escribe el objetivo y una prueba de término.
2. Decide qué estado es canónico y dónde se persiste.
3. Separa lectura, edición, aprobación y publicación.
4. Diseña herramientas pequeñas con esquemas estrictos.
5. Asigna una identidad y permisos mínimos a cada función.
6. Coloca guardrails antes de los efectos externos.
7. Añade idempotencia para repeticiones y reconciliación para incertidumbre.
8. Registra trazas sin secretos y evalúa el estado final, no la elocuencia del agente.
9. Define cuándo intervenirá una persona.
10. Empieza con un workflow simple y añade autonomía sólo donde cambie el camino de forma legítima.

Con este vocabulario, la conversación deja de ser “cuánta libertad darle a la IA” y pasa a preguntas que sí se pueden responder: qué objetivo tiene, qué puede observar, qué puede modificar, quién aprueba y qué evidencia demostrará que terminó.