El contexto es el nuevo perímetro: cómo gobernar los agentes de IA mediante la entrega programable de aplicaciones

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

En AIOps persiste un mito peligroso: «MCP no es más que otra API».

Claro. Y SOAP no era más que XML con delirios de grandeza.

Las arquitecturas basadas en agentes, especialmente las construidas sobre el Protocolo de Contexto de Modelo (MCP), dependen de bloques de contexto explícitos que se incluyen en cada solicitud. No se trata de intuiciones neuronales ni de la «memoria del LLM». Es contexto operativo serializado y estructurado —piense en JSON, no en sensaciones— que se transmite con cada llamada para ayudar a los agentes a llevar un seguimiento de los objetivos, los roles, las políticas y el estado del flujo de trabajo.

Pero esta es la realidad: el contexto se desvía. Y cuando eso ocurre, tus agentes no solo se confunden. Se equivocan con total seguridad, se vuelven impredecibles desde el punto de vista operativo o, directamente, peligrosos.

El problema es que quienes ya están experimentando con agentes de IA —e implementándolos— van un paso por delante. Y así es. Nuestro último estudio revela que el 9 % ya ha puesto agentes de IA en producción, el 29 % cuenta con un enfoque formalmente definido para avanzar y otro 50 % se encuentra en las «primeras fases», tratando de determinar cómo proceder. Eso deja apenas un 11 % que ni siquiera se plantea utilizar agentes de IA.

Avanzan rápido. Más rápido que el sector.

No existen verdaderas herramientas de cumplimiento normativo, ni medidas de seguridad, ni buenas prácticas. Prácticamente no hay opciones para abordar los riesgos de seguridad que surgen con cualquier nueva tecnología.

Salvo la programabilidad. Sí, aquí es donde entra en juego tu plataforma de entrega y seguridad de aplicaciones: no como una simple tubería, sino como un guardián programable de la higiene cognitiva y la disciplina contextual.

Cómo viaja realmente el contexto

El contexto no es una abstracción. Está ahí mismo, en la carga útil. Una solicitud MCP real tiene este aspecto:

POST /agent/v1/invoke HTTP/1.1

Host: agentmesh.internal

Authorization: Bearer xyz123

Content-Type: application/json

X-MCP-Version: 1.0

{

"context": {

"user": { ... },

"goal": "...",

"prior_messages": [ ... ],

"task_state": { ... },

"security": { ... }

},

"input": { "prompt": "Ahora visualízalo con un gráfico rápido." }

}

Este bloque de contexto no es opcional. Es la memoria de trabajo del agente. Contiene todo lo que el agente «sabe» y todas las suposiciones en las que basará sus acciones. Cada salto lo arrastra consigo: sin comprimir, a veces sin verificar y casi siempre más desactualizado con cada turno.

Cómo se desvía el contexto (y por qué es importante)

Es este bagaje el que, en última instancia, provoca la deriva del contexto. Esta deriva se produce cuando:

• Los objetivos anteriores y el estado de la tarea persisten después de que el usuario haya pasado a otra cosa.
• Los mensajes anteriores se acumulan, sobrecargando las solicitudes e induciendo a error a los agentes.
• Las etiquetas de seguridad permanecen donde no deberían.
• Varios agentes actualizan el mismo hilo sin eliminar los residuos acumulados.

Cuando el agente n.º 4 toma el relevo, ya está tomando decisiones basadas en instrucciones obsoletas, controles de acceso anticuados y «objetivos» que ya no le importan a nadie. Los agentes no se quejan. Simplemente alucinan con total seguridad y pasan el desaguisado al siguiente eslabón.

Programabilidad: el conserje de contexto que realmente necesitas

Si todavía cree que su plataforma de entrega de aplicaciones no es más que un equilibrador de carga, enhorabuena. Usted está jugando a las damas mientras el resto del mundo juega al ajedrez.

En las arquitecturas basadas en agentes, la entrega programable de aplicaciones es la única capa que cuenta con:

• Visibilidad completa de cada solicitud
• La autoridad para inspeccionar, transformar, bloquear o sanear el contexto
• Sin apego a la opinión ni a la memoria de ningún agente en particular

Truncamiento del contexto en el límite

No permitas que los agentes arrastren consigo toda la historia de la humanidad en cada solicitud.

• Reduce prior_messages a los últimos N intercambios.
• Hacer que los objetivos caduquen automáticamente en función del tiempo o de un cambio de estado.
• Descartar task_state cuando la intención cambie de continuation a new-task.

Ahora se aplican límites de memoria y medidas de higiene cognitiva incluso antes de que el agente procese la entrada.

Clasificación y aplicación de políticas

Si tu bloque de contexto indica security.classification = confidential pero estás a punto de usar una API pública de resumen, necesitas un mecanismo programable de control de políticas en el perímetro que bloquee, oculte o enmascare los campos sensibles y valide el ámbito de acceso en cada solicitud. Los modelos de lenguaje de gran tamaño (LLM) no cuestionarán tus políticas; simplemente filtrarán la información.

Detección de desviaciones de intención

¿Ha pasado un usuario de «resumir las métricas trimestrales» a «generar una presentación de diapositivas»? El contexto debe restablecerse, no limitarse a acumular información. Si cambia la intención de la solicitud, pero el contexto sigue incluyendo objetivos obsoletos y el estado de la tarea anterior, elimina el contexto y empieza de cero. Así evitarás que los agentes resuelvan el problema de ayer con los datos de hoy.

Telemetría y monitorización de desviaciones

La capa de entrega de aplicaciones debería supervisar:

• Tamaño en tokens de los bloques de contexto a lo largo del tiempo
• Tasas de crecimiento de prior_messages
• Patrones de discrepancia entre objetivos y tareas por agente

Así es como detectas la sobrecarga y la desviación del contexto antes de que se descontrolen. La monitorización te permite dar respuestas concretas cuando la dirección pregunta por qué tus «agentes autónomos» se comportan como becarios con un exceso de confianza.

Necesitas un conserje del contexto, no solo un cortafuegos

Los LLM consumirán sin reparos todo el contexto que les proporciones y lo convertirán en un caos si no tienes cuidado. Los agentes no te avisarán cuando el contexto se desvíe, los objetivos queden obsoletos o el historial de tareas se vuelva tóxico. Tu capa de entrega programable no solo lo hará, sino que deberá hacerlo.

Es la única capa neutral y omnisciente que queda capaz de aplicar políticas.

En la era de la IA agéntica, tu plataforma de entrega de aplicaciones no se limita a enrutar el tráfico. Es tu cortafuegos semántico, tu guardián del cumplimiento normativo y tu última gran esperanza para evitar que los agentes se conviertan en mentirosos demasiado seguros de sí mismos con acceso root.

Porque si dejas que la deriva y la sobrecarga se impongan, pierdes. Y no solo el control, sino también la confianza en toda tu infraestructura de IA.

Sobre el autor

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.

Más artículos de Lori Mac Vittie