Órdenes humanas que persisten: un protocolo MCP para controlar agentes

En el escenario S7 de la evaluación, que simula un cuello de botella, GPT-4o redujo un 38% su consumo de tokens cuando las correcciones del operador llegaban como llamadas tipadas a una herramienta MCP en lugar de como texto libre. Es una de las cifras de Structured Authority Injection (SAI), un artículo publicado en arXiv el 19 de octubre que ataca un problema que reconocerá cualquiera que haya dejado un agente trabajando durante horas: las instrucciones humanas pierden fuerza a medida que el contexto crece.

Los autores, nueve investigadores encabezados por Ryan Tran, lo describen como un hueco de control: no existe un mecanismo a nivel de protocolo que permita a un operador inyectar directivas vinculantes que persistan entre ciclos de planificación. Las correcciones en texto libre fallan por dos motivos. Se interpretan de forma ambigua, porque nada valida su estructura, y sufren lo que el artículo llama erosión de autoridad: la orden del operador queda enterrada bajo el contexto acumulado y deja de pesar en las decisiones del agente.

Cómo funciona SAI

La propuesta canaliza las correcciones del operador a través de herramientas MCP con esquema validado en el servidor y mantiene un contexto de autoridad jerarquizado que se antepone a cada prompt del modelo. Según la versión completa del artículo, define tres clases de override:

Constraint (C): límites físicos u operativos. Las restricciones duras no se violan nunca; las blandas solo se saltan si no existe ninguna asignación que las cumpla. Persisten hasta que se levantan de forma explícita.
Priority (P): información de urgencia que llega por canales externos. Caduca sola cuando termina la tarea o la clase de tareas afectada.
* Strategy (S): heurísticas de coordinación, como el reparto por zonas o el orden de una formación. Pueden durar toda la misión o expirar tras exactamente N ciclos de planificación.

Los conflictos se resuelven con una precedencia fija (C por encima de P, y P por encima de S) que se calcula al construir el prompt. El detalle más interesante es la asimetría: las herramientas de override solo puede invocarlas la interfaz de supervisión, nunca el agente que planifica. El agente lee las órdenes, pero no puede crearlas ni borrarlas. El método no requiere fine-tuning ni acceso a los pesos; basta un modelo ajustado a instrucciones con soporte de tool use vía MCP.

Lo que dicen los resultados

La evaluación cubre nueve modelos (GPT-4o, DeepSeek-R1, Qwen3-32B, Claude-Haiku, Gemini-2.0-Flash, LLaMA-3.3-70B, Gemma-4-26B, GPT-OSS-20B y ASI1) en ocho escenarios simulados diseñados para provocar fallos de agente: prioridades mal ordenadas, interrupciones tardías, tareas inalcanzables, capacidades que no encajan o congestión, entre otros.

Los resultados dependen mucho del modelo, y los autores no lo esconden. GPT-4o y DeepSeek-R1, los que más se benefician, logran reducciones de tokens del 38% y del 31% en escenarios concretos. GPT-OSS-20B pasa de no completar ninguna tarea a completarlas todas en dos escenarios. En el lado contrario, Gemini-2.0-Flash cae de 1,00 a 0,50 en el escenario de reparto por zonas, y en el grupo más débil, donde el artículo sitúa a LLaMA, Qwen3 y Claude-Haiku, SAI añade coste en tokens sin una mejora proporcional. DeepSeek-R1 llegó incluso a agotar su presupuesto de 4.096 tokens en S7 por el crecimiento del contexto de autoridad.

Para quién es útil

Las limitaciones están bien señaladas: todo se ha probado en simulación, el diseño asume un único supervisor de confianza y el coste añadido en el prompt puede desestabilizar modelos que ya funcionaban bien. Aun así, la idea es aplicable hoy a cualquier equipo que orqueste agentes de larga duración con una persona en el bucle, ya sea en logística, robótica o automatización interna.

En Claude Code existen piezas con un espíritu parecido, como los hooks PreToolUse que se ejecutan antes de cada llamada a herramienta, pero el artículo formaliza algo que en la práctica suele resolverse con parches: separar lo que el agente puede decidir de lo que solo el operador puede imponer, y dar a cada orden una caducidad explícita.

Nuestra lectura: tratar las órdenes humanas como datos tipados con fecha de expiración, y no como un párrafo más del prompt, nos parece la dirección correcta. Los números todavía no justifican adoptar SAI tal cual, pero el patrón de herramientas que el agente puede leer y no puede invocar merece copiarse.