Exige paridad de acceso para agentes respecto a otros medios

Si un usuario puede hacer algo a través de un navegador o aplicación móvil, su agente delegado debe poder hacer lo mismo, a menos que la sensibilidad de la interacción exija explícitamente autorización directa del usuario.

Por qué

El marco canónico de AX (agentexperience.ax, Accesibilidad de Agentes) afirma textualmente: "El techo de calidad de una experiencia de agente está limitado por el nivel de paridad de acceso que se proporciona a los agentes frente a otros medios." Cada función, recurso o acción que existe solo en una interfaz de navegador y no en una API es un techo rígido sobre lo que cualquier agente puede hacer por tus usuarios. A medida que los agentes se convierten en interfaces primarias (Biilmann documentó que Netlify superó los 10.000 despliegues liderados por agentes al día), este techo se convierte en el límite efectivo de capacidad de tu producto.

El corolario es igualmente importante: exigir la intervención de un humano donde no es absolutamente necesario es un antipatrón. El marco canónico es explícito: las áreas donde se requiere intervención humana deben limitarse a interacciones en las que la autorización deba ser permitida de forma verificable por el usuario final, e incluso entonces, el agente debería poder continuar una vez concedida esa autorización.

Haz

Audita cada capacidad de cara al usuario contra tu superficie de API. Para cada capacidad, o bien exponla a los agentes o documenta por qué requiere autorización humana directa. Construye APIs con paridad respecto a tu interfaz como principio de diseño predeterminado, no como algo añadido a posteriori.

No hagas

Lanzar funciones de interfaz sin equivalente en la API y darlas por "suficientemente buenas". No exijas la creación de una cuenta humana antes de que un agente pueda empezar a trabajar (ver AX-SYS-43). No restrinjas las operaciones de lectura tras autenticación humana cuando los datos no son sensibles.

Artefacto

Lista de verificación de auditoría de paridad de acceso, para cada capacidad de usuario:

[ ] Exists as an API endpoint or MCP tool
[ ] If not: documented reason why human auth is required
[ ] If human auth required: agent can continue after auth (not re-blocked)
[ ] Rate limits and scopes are equivalent to browser/app access
[ ] Error responses are machine-readable (not just HTML error pages)