c5.5 Exige aprobación humana para acciones de alta consecuencia

Acota la autonomía en el punto de consecuencia

Un agente que puede actuar por su cuenta es conveniente, hasta que borra datos de producción, mueve dinero o envía correos a clientes porque una inyección de prompt se lo indicó. La solución no es eliminar la autonomía en todas partes, sino insertar un punto de control con humano en el ciclo (human-in-the-loop) delante de las operaciones específicas que son sensibles, mutativas o destructivas. Todo lo demás sigue siendo autónomo; las acciones de alta consecuencia se pausan para una aprobación humana explícita.

Modela la aprobación como un flujo que pausa

El patrón de callback de AWS Step Functions (waitForTaskToken) es una forma limpia de implementarlo: el flujo llega al paso sensible, emite un token de tarea a un humano (correo, Slack, un ticket) y pausa —hasta un año— hasta que alguien aprueba o rechaza:

{
  "ApproveHighRiskAction": {
    "Type": "Task",
    "Resource": "arn:aws:states:::lambda:invoke.waitForTaskToken",
    "Parameters": {
      "FunctionName": "notify-approver",
      "Payload": {
        "action.$": "$.proposedAction",
        "taskToken.$": "$$.Task.Token"
      }
    },
    "Next": "ExecuteAction",
    "TimeoutSeconds": 86400
  }
}

La decisión del aprobador reanuda el flujo:

# Aprobar
aws stepfunctions send-task-success \
  --task-token "<token>" --task-output '{"approved":true}'

# Rechazar
aws stepfunctions send-task-failure \
  --task-token "<token>" --error "Rejected" --cause "Not authorized by reviewer"

Decide qué necesita un humano

Enruta por el punto de control solo las acciones de alta consecuencia: borrados, transacciones financieras, cambios de permisos, comunicaciones externas, cualquier cosa irreversible. Deja que el agente clasifique una llamada de herramienta propuesta y ramifique: las acciones de bajo riesgo se ejecutan directamente; las de alto riesgo entran al estado de aprobación. Mantén la clasificación del lado del servidor, no algo que el modelo pueda sortear con palabras.

Falla en cerrado y registra la decisión

Si la aprobación expira, el flujo debe fallar en cerrado (no ejecutar), no continuar. Registra quién aprobó o rechazó, cuándo y la acción exacta: es a la vez tu rastro de auditoría y tu evidencia de que la autonomía se mantuvo acotada.

Nota de nomenclatura: fija TimeoutSeconds a una ventana que se ajuste a tus operaciones; al expirar, la acción no se realiza. Envía al aprobador suficiente contexto (la operación exacta y sus parámetros) para decidir con seguridad.