La mayor parte del día no pasa por nadie. Tus reglas autorizan lo rutinario en milisegundos y solo se retiene lo que no tiene marcha atrás. Una puerta que salta con todo se acaba aprobando por reflejo, y OWASP tiene ese reflejo por amenaza. Por eso las retenciones son pocas y llegan con la procedencia que la máquina ya tiene: quién lo propuso, sobre qué contexto y con qué consecuencia. Aquí no es todo o nada: la autoridad se gradúa, y una autorización se revoca sin tocar al agente.

Una credencial no es una autorización. Tu IAM dice si una identidad puede llegar a un sistema; no dice si esa acción tenía derecho a ocurrir. El bucle de decisión te lo montas en un fin de semana. Lo que no: invariantes verificadas por máquina, comprobantes con firma híbrida poscuántica, un registro anclado externamente que ni tu propio administrador reescribe y una suite pública de conformidad que lo demuestre. Si lo construyes, constrúyelo contra la especificación abierta: las suites te dirán qué le falta a tu versión.

Minutos en el lado del agente: con MCP, ZIFFER publica tu catálogo de acciones como herramientas del agente; o una llamada al SDK; o directamente HTTPS. Una sola vez por sistema protegido, una credencial de alcance limitado que solo ZIFFER usa. La puesta en marcha arranca en 48 horas. Nada cambia en tu agente, ni en el modelo, ni en el framework, ni en los prompts.

Todavía nadie de fuera ha intentado romperlo, y preferimos escribirlo aquí a que lo descubras tú. Lo que sí puedes comprobar hoy sin contar con nosotros: la especificación abierta, la implementación de referencia bajo Apache 2.0, las suites de ataque que se reproducen en tu portátil borrando los controles de uno en uno y el archivo de riesgos residuales, que publicamos antes que las afirmaciones. Con Assured las claves de los comprobantes viven en tu cuenta de la nube: ni podemos falsificarlos ni hace falta que nos pidas permiso para revocarnos.

Media hora. Y en vez de una presentación te llevas una nota de aprobación: las propiedades de tu despliegue puestas frente a los controles que ya tienes, la lista de acciones que retendríamos para dos personas con nombre y una muestra de la evidencia que le llegaría al auditor. Si la respuesta honesta es que no nos necesitas, eso es lo que pone en la nota.