Metadatos fuera de banda: la clave para agentes autónomos seguros

El problema de la inyección de instrucciones en agentes autónomos lleva meses siendo uno de los debates más concretos y menos resueltos del ecosistema LLM. No es un problema teórico: cualquier agente que lee correos, navega webs o consume APIs externas puede recibir texto diseñado para secuestrar sus acciones. Un paper publicado esta semana en arXiv por investigadores vinculados a Redpanda propone una solución estructural: separar los metadatos de confianza del propio contenido que el agente procesa, usando canales fuera de banda (out-of-band).

La propuesta puede sonar técnica, pero la intuición es sencilla: si el agente recibe un documento de un tercero, ese documento no debería poder decirle al agente quién lo envió, con qué nivel de autorización o qué herramientas puede invocar. Esa información debe llegar por un canal distinto, uno que el contenido externo no pueda falsificar ni contaminar.

El problema que intentan resolver

Los agentes modernos —incluyendo los que se construyen sobre Claude Code con subagentes y servidores MCP— operan en entornos donde la frontera entre datos y comandos es difusa. Un hook de `PreToolUse` puede leer un archivo cuyo contenido, a su vez, contiene texto que parece una instrucción del sistema. Un subagente delegado puede recibir como entrada el resultado de una llamada a una API externa que ha sido manipulada.

Hasta ahora, las mitigaciones habituales son defensivas pero frágiles: prompts de sistema que advierten al modelo sobre inyecciones, filtros de texto, o simplemente confiar en que el modelo distinguirá contexto legítimo de adversarial. El paper argumenta que ninguna de estas aproximaciones es suficiente porque todas operan dentro del mismo canal que puede estar comprometido.

La propuesta central es que los sistemas multi-agente adopten un esquema donde la procedencia, el nivel de confianza y los permisos de cada mensaje viajen por un canal separado del contenido semántico, firmado o verificado por la infraestructura orquestadora. El agente consulta ese canal antes de actuar, no el contenido en sí.

Por qué importa en el contexto de MCP y Claude Code

En la arquitectura actual de Claude Code, los servidores MCP se configuran en `claude_desktop_config.json` y el modelo recibe sus respuestas como texto estructurado. No existe, por defecto, un mecanismo criptográfico que distinga «esto me lo dice el servidor MCP de confianza que yo mismo configuré» de «esto me lo dice un documento externo que ese servidor trajo». El protocolo MCP sí define capas de autorización, pero la separación semántica entre datos y metadatos de confianza no es un requisito explícito del estándar hoy.

Si la propuesta del paper ganase tracción —y la discusión en Hacker News acaba de abrirse, aunque de momento con pocas interacciones—, tendría implicaciones directas para cómo se diseñan los plugins de Claude Code y cómo los skills empaquetan contexto junto con instrucciones. Un skill mal diseñado que incluya contexto externo sin aislar su procedencia es exactamente el vector de ataque que el paper describe.

La conexión con Redpanda no es casual: Redpanda es una plataforma de streaming de datos (compatible con Kafka) y el paper usa su infraestructura como ejemplo de cómo implementar ese canal fuera de banda a escala, aprovechando las garantías de orden y autenticación que ya ofrece un log distribuido. La idea es que el bus de mensajes que ya usan muchas arquitecturas de agentes puede ser también el portador de los metadatos de confianza, sin necesidad de reinventar la infraestructura.

Para quién es relevante esto ahora mismo

Si estás construyendo agentes con Claude Code que consumen fuentes externas —RSS, APIs de terceros, resultados de búsqueda web, correos— este paper merece una lectura. No porque ofrezca una solución lista para instalar, sino porque formaliza un modelo mental útil: pensar en dos planos distintos, el del contenido y el de la confianza, y nunca dejar que el primero dicte condiciones sobre el segundo.

Para equipos que ya usan hooks de Claude Code en producción, la pregunta práctica que plantea el paper es incómoda pero necesaria: ¿qué ocurre si el output que tu hook de `PostToolUse` lee ha sido diseñado para parecer una instrucción del sistema? Si la respuesta es «confiamos en que el modelo lo detecte», probablemente convenga revisar esa asunción.

En ClaudeWave llevamos meses viendo cómo la seguridad de los agentes autónomos se trata como un problema de prompts cuando en realidad es un problema de arquitectura. Este paper da argumentos sólidos para esa distinción, y llega en un momento en que el ecosistema MCP está madurando lo suficiente como para que valga la pena exigirle garantías estructurales.