Los agentes con los que programo ya no me preguntan todo lo que van a hacer. Ahora otro modelo decide qué merece una pregunta, y el cambio ha llegado como un ajuste por defecto.
Durante bastante tiempo, trabajar con un agente de programación consistía en ver pasar peticiones de permiso. ¿Ejecuto este comando? ¿Leo este archivo? ¿Me conecto a esta dirección? Pulsabas que sí, una vez y otra, y el agente seguía.
Era incómodo y, además, servía de poco. Según Anthropic, quienes usan Claude Code aceptan el 93 % de esas peticiones. Cuando dices que sí a casi todo, la pregunta deja de ser una revisión y se convierte en un trámite.
La respuesta de los fabricantes tiene lógica: si la persona aprueba casi siempre, que apruebe otro modelo y que a la persona solo le llegue lo dudoso. Desde el 14 de agosto, el modo automático es el predeterminado en las sesiones nuevas de Claude Code para los planes Pro, Max y Team. En Cursor, la documentación presenta Auto-review como el modo recomendado.
No me parece una mala idea. Me interesa lo que cambia por el camino. Ya no decidimos solo qué hace el agente: hay un modelo que decide qué nos pregunta.
De herramientas que obedecen a modelos que filtran
Una herramienta clásica hace lo que le pides. Si borras un archivo, lo has borrado tú.
Con los agentes apareció un segundo nivel. Les describes un objetivo y proponen los pasos: qué leer, qué comando lanzar, qué cambiar. Tú seguías siendo quien aprobaba, al menos en teoría.
El tercer nivel es el que se está instalando ahora. Entre el agente y tú hay un clasificador. En Claude Code, según la explicación técnica de Anthropic, las lecturas y las ediciones dentro del proyecto pasan sin consulta. El resto (comandos, accesos a la web, integraciones externas, operaciones fuera del proyecto) lo revisa un modelo que busca acciones irreversibles, destructivas o que salen del entorno. Si bloquea una, el agente intenta otro camino o te pide permiso.
En Cursor, Auto-review funciona de forma parecida. Ejecuta lo que está en tu lista de permitidos, aísla lo que puede en un entorno restringido y envía el resto a un clasificador que funciona con modelos pequeños gestionados por Cursor. Para juzgar un comando, ese clasificador puede leer archivos de tu ordenador.
Las dos empresas son prudentes al describirlo. Cursor escribe que Auto-review no es una frontera de seguridad. Anthropic publica sus propias tasas de error: en una muestra de 52 acciones reales en las que el agente se había excedido, su sistema dejó pasar el 17 %. Son datos del fabricante, medidos en sus condiciones. Se agradece que los publiquen, y confirman lo esperable: el filtro también se equivoca.
Un valor por defecto es una decisión que alguien toma por ti
Lo que me hace detenerme no es el clasificador. Es que llegue por defecto.
En 2003, Eric Johnson y Daniel Goldstein compararon las tasas de consentimiento para donar órganos en varios países europeos. Las enormes diferencias dependían, en buena parte, de cuál era la opción por defecto en cada país. La mayoría de la gente se queda con lo que encuentra.
Un valor por defecto es una decisión que alguien toma por ti, con buenas razones o sin ellas, y que heredas sin haberla tomado. Quien abre hoy una sesión nueva de Claude Code con un plan Pro, Max o Team, y no había fijado otro modo, trabaja con un modelo que decide qué se le consulta. Anthropic respeta a quien ya había elegido otro modo, y lo explica. Quien no había fijado nada, en cambio, no ha elegido nada.
En Cursor se ha visto el mismo mecanismo con menos cuidado. En junio, un usuario contó en el foro que trabajaba con la lista de permitidos y que, al aprobar un comando, una casilla ya marcada para activar Auto-review le cambió el modo para todo. La respuesta de Cursor fue que la casilla era intencionada, que entendía que no dejaba claro el consentimiento y que trasladaría la queja al equipo.
No veo mala fe en ninguno de los dos casos. Veo algo más corriente: los fabricantes optimizan para que trabajes con menos interrupciones, y eso es lo que la mayoría pide. Por el camino se pierde el momento en el que decides delegar.
¿Quién responde cuando aprueba un clasificador?
Supongamos que un agente borra algo que no debía, en una sesión en la que nadie aprobó ese comando porque el clasificador lo consideró aceptable. ¿Quién lo decidió?
El agente lo propuso. El clasificador lo aprobó. El fabricante diseñó el clasificador y lo dejó activado por defecto. Tú abriste la sesión y escribiste el encargo. Cada uno tiene una parte y ninguno tiene la decisión entera.
La aviación conoce bien este problema. En 1983, Lisanne Bainbridge describió las ironías de la automatización: cuanto más se automatiza un sistema, más importa la intervención humana en los momentos difíciles y menos práctica tiene la persona para hacerla. Quien supervisa durante horas un piloto automático tiene que reaccionar en segundos cuando algo falla, ante una situación que había dejado de seguir de cerca.
Con los agentes la escala es menor, pero la pauta se parece. Si el clasificador solo me pregunta lo raro, me llegará justo aquello sobre lo que menos contexto tengo. Y como me preguntará poco, mantener la atención en cada petición me costará más, no menos.
No creo que la solución sea volver a aprobarlo todo a mano. Ya sabemos que eso acaba en un 93 % de síes. Tampoco me sirve que la responsabilidad se reparta tanto que nadie pueda explicar por qué se ejecutó algo.
Qué conviene saber antes de delegar en un agente
Cuando lo pienso para mis propios proyectos, me salen unas pocas preguntas sencillas:
- ¿En qué modo trabaja mi agente ahora mismo? No en el que elegí hace meses, sino en el de hoy. Puede haber cambiado con una actualización o con una casilla.
- ¿Qué se hace sin consulta? Leer los archivos del proyecto no es lo mismo que leer la carpeta donde guardo las claves.
- ¿Puedo saber después qué se aprobó y por qué? Si algo sale mal, necesito poder reconstruirlo.
- ¿Cómo vuelvo atrás? Claude Code y Cursor permiten fijar otro modo. Conviene saber dónde antes de necesitarlo.
Es una de las razones por las que en RosmarOps hemos empezado un observatorio que sigue los modos de aprobación, los permisos y el sandbox de cada agente, con la fecha, la versión y la fuente de cada dato. Todavía tiene poco registrado. Lo que busco es que estos cambios dejen de pasar sin que nadie los anote.
Delegar sabiendo qué se delega
Delegar está bien. Trabajo con agentes constantemente, y buena parte de lo que construyo no existiría sin ellos.
Lo que me incomoda es delegar sin haberlo decidido: que la herramienta llegue configurada para elegir qué me pregunta y que yo me entere leyendo un anuncio o una queja en un foro.
La próxima vez que un agente termine una tarea sin preguntarme nada, quiero poder decir algo más que «ha funcionado». Quiero saber quién decidió que no hacía falta preguntarme.
