En los agents esto no es una cuestión teórica. El agent actúa en tu nombre: si llega a la vez a tu buzón, a tus archivos y a internet, un agent secuestrado puede hacer exactamente el mismo daño que harías tú. El least privilege es la única defensa que sigue funcionando cuando el modelo ya ha sido engañado.
La literatura identifica tres ingredientes que juntos componen una fuga de datos con éxito: datos privados, contenido no fiable y un canal hacia fuera. Dos cualesquiera de ellos son seguros por sí solos; los tres juntos, no. Y no es teoría: una medición sobre 7.973 servidores en funcionamiento encontró que el 40,55% expone sus herramientas sin ninguna autenticación.
El error más habitual es creer que esto es cosa de desarrolladores. No lo es: la decisión es de negocio. Eres tú quien tiene que decidir a qué puede acceder el agent y a qué no, y esa decisión pesa más que la elección del modelo.
Cómo hacer la separación en la práctica lo explica el agent con los mínimos permisos, un artículo aparte. Los conceptos directamente relacionados: prompt injection, human in the loop y sandbox.