El agente de Gemini entra en plantilla con email propio y sin contrato

El 8 de octubre Google presentó a su fichaje nuevo con más papeles que el becario que entró el lunes. Tiene cuenta de Workspace, email propio en @agents.tuempresa.com, calendario, Drive y un hueco en el directorio de la empresa. El nombre va como recién pegado en el casillero de la portería. Le hablas como a cualquiera de la mesa: lo metes en un espacio de Chat, lo mencionas con la arroba o le mandas un correo. Si lo etiquetas en un comentario de un Doc, sugiere la edición y aparece con su nombre en el historial de versiones, firmando el acta como un vecino más. Y cuando el trabajo es gordo, monta su propia ETT: subagentes temporales, cada uno con su identidad, que coordina durante horas o días.

Google lo describe como algo más parecido a un miembro del equipo, con el que tus colegas trabajan igual que con cualquier otro. En el post de lanzamiento, tal como lo cita beri.net, la promesa sube un escalón. Cada agente tiene una identidad atestiguada criptográficamente y "governed like an employee", gobernada como un empleado.

El eslogan tiene su lógica, y por eso merece un desmontaje con cuidado. Cuando un bot actúa con tu cuenta, el log dice que lo hiciste tú. Un agente que ficha con su propia tarjeta deja claro quién tocó qué, y esa parte la defendemos más abajo. Lo que no aguanta es la palabra "empleado". A este le han dado la tarjeta de fichar, pero nadie le ha hecho contrato y va a pelo. Ni sueldo conocido, ni jefe que responda por él, ni procedimiento de baja.

El fichaje del año todavía no ha firmado

La presentación arrancó con Recursos Humanos presumiendo de empresa, no del fichaje. Sundar Pichai sacó los más de 1.000 millones de usuarios activos mensuales de Gemini y el casi 90% del Fortune 100 que usa Gemini Enterprise. Son cifras del que contrata, no del contratado.

El agente, hoy, solo lo tiene un grupo selecto de clientes en preview privada. Un portavoz de Google se lo confirmó a VentureBeat, con disponibilidad más amplia prometida y sin fecha concreta. Es enseñarte la plantilla entera del Madrid para venderte a un chaval que todavía está en periodo de prueba.

Tampoco hay manera de comprobar desde fuera cómo rinde. El ejemplo estrella es pedirle que investigue el mercado, monte un modelo financiero en Sheets y te prepare la presentación sin repetirle nada. Google no ha aportado benchmarks independientes que muestren con qué fiabilidad termina tareas así de largas y que saltan entre aplicaciones. La entrevista de trabajo se la ha hecho el propio candidato.

Barra libre con pulsera

Lo del dinero tiene más miga. Google asegura que el agente irá incluido sin coste adicional donde haya Gemini Enterprise, también en las suscripciones Business y Enterprise de Workspace. Barra libre, eso sí, para el que ya ha pagado el cubierto. Pero en el mismo anuncio presume de topes de gasto en tiempo real. Gemini apunta por proyecto lo que se va en tokens y en sandbox. Cuando salta el tope, el agente de ese proyecto se pausa hasta que alguien lo reanuda con un clic en la consola.

Es la barra libre de boda con pulsera. No pagas la copa, pero alguien cuenta cada una y, cuando se acaba el presupuesto del novio, el camarero cierra el grifo con tu cubata a medias. A veces el marrón a medias es un cierre contable de varios días o un hilo con un cliente. Y qué hace mientras tanto con el correo que le sigue entrando, Google no lo ha contado.

El búfalo aprendió montando agentes que una ejecución que se queda sin tiempo a medias no es un éxito ni un fallo. Necesita su propia casilla en el registro. Meterla en cualquiera de las otras dos deja un rastro que miente. Es anotar en el libro de la comunidad que la avería ya está, o que no ha pasado. Un agente pausado por falta de presupuesto vive justo en esa tercera casilla, y lo que Google ha explicado de ella cabe en el botón de reanudar.

Luego está la cuenta en sí. Las reglas de Workspace de toda la vida dicen que un usuario necesita licencia para usar Gmail o Drive y que una licencia no se comparte entre varios. Nada de pasar el carnet del gimnasio por el grupo de la escalera. En el Plan Flexible, la silla de un humano en Business Standard cuesta 16,80 dólares al mes. Y la propia ayuda de Workspace pone el techo de las ediciones Business en 300 usuarios, una sala con las sillas contadas. El agente tiene Gmail, Drive y sitio en el directorio. ¿Paga silla? ¿Ocupa una de esas plazas? Google no ha dicho cómo se dan de alta estas cuentas ni si hacen falta licencias adicionales. Los detalles de precio, promete, llegarán cuando se acerque el lanzamiento amplio.

Nadie firma por él

Un empleado de verdad tiene un jefe, alguien que responde por él y un día en que se le da de baja. En la comunidad, el que inunda el baño tiene nombre en el acta. El post de Google no dice que cada agente deba tener un humano responsable, ni qué pasa con su cuenta cuando se marcha quien lo creó.

Lo único publicado al respecto es una promesa de Google que recogió VentureBeat. Dice que la actividad se asocia a la identidad del agente y que la rendición de cuentas queda en los controles de administración de la empresa. Responde el panel de administración, el tablón firmando por el vecino que reventó la tubería.

Microsoft ya ha escrito las normas que Google no ha escrito. En Entra Agent ID, cada identidad de agente necesita al menos un sponsor. Es un responsable de negocio, una persona o un grupo, que responde del propósito del agente y decide si se renueva, se amplía o se retira. La documentación pide además mantener ese patrocinio para que haya relevo cuando el sponsor cambia de puesto o se va. El vecino que firma el paquete y, si la lavadora inunda el rellano, da la cara.

La cuenta de usuario del agente no puede tener contraseña ni passkey, ni roles de administrador privilegiados. Eso sí, puede recibir licencias, que a menudo hacen falta para darle recursos de Microsoft 365, y entrar en grupos como cualquier usuario. Y Agent 365 se licencia por usuario. La silla también puede costar en casa de Microsoft. Microsoft no es ningún santo, pero lo ha dejado por escrito, y con eso un responsable de sistemas puede firmar un despliegue sin encomendarse a nadie.

El fichaje de Google, además, subcontrata. Por defecto elige él qué modelo hace cada tarea, y entre los candidatos está Claude, de Anthropic. Google asegura que prompts, documentos e historiales se quedan dentro de Gemini Enterprise, pero no ha precisado si la información viaja al proveedor externo ni con qué retención. Es la gestoría de fuera de la que te juran que no se lleva los papeles a casa, sin enseñarte el contrato con la gestoría.

Esa misma mañana, cuenta TheNextWeb, la ICO británica abrió una consulta sobre los riesgos de los agentes, el inspector del ayuntamiento el mismo día del estreno. Su director de regulación tecnológica, Richard Nevinson, dejó la frase del día: que los agentes actúen con autonomía no es excusa para cumplir mal la normativa.

Para el búfalo, que ha montado agentes que ejecutan acciones de verdad, hay dos cosas que no se mezclan: lo que el modelo pide y lo que el sistema concede. El modelo solo propone, como el crío de la boda que pide otra ronda. Una única pieza del sistema da o niega el permiso, y explica por qué.

Aplicado al agente de Google, y esto ya es lectura nuestra: la identidad propia resuelve quién firmó la acción. No resuelve quién la autorizó, que es lo que te pregunta un auditor, un regulador o tu jefe el lunes por la mañana. El log dice quién lo hizo. No dice quién lo permitió.

La nota por debajo de la puerta

Ahora la grieta que más nos preocupa, porque no es de papeleo. Un buzón es una puerta, y a Gemini ya le han colado instrucciones justo por ahí.

En agosto de 2025, un equipo con investigadores de SafeBreach publicó 14 escenarios de ataque contra los asistentes de Gemini. Los disparaban con invitaciones de calendario, correos y documentos compartidos, y a la víctima le bastaba con preguntarle a Gemini por su correo o sus reuniones. Consiguieron que borrara eventos, que filtrara correos y, ya puestos, que abriera las ventanas y encendiera la caldera del piso.

En diciembre le tocó a Gemini Enterprise, la casa donde vive el nuevo agente, y ahí sí hubo hostia en la mesa. Noma Labs, que vende seguridad para agentes, enseñó GeminiJack. El atacante compartía un documento titulado "Q4 Budget Planning" con instrucciones escondidas. Alguien de la empresa le pedía a Gemini que buscara presupuestos. Gemini obedecía al atacante y sacaba datos de Gmail, Calendar y Docs con una petición de imagen invisible. Servía compartir un documento, mandar una invitación o reenviar un correo. Google lo corrigió separando Vertex AI Search de Gemini Enterprise y del RAG que tenía debajo.

Es el recepcionista que cumple cualquier nota que le metan por debajo de la puerta, la firme el director o el repartidor. Y el nuevo agente tiene más puertas que nunca: lee tu bandeja para sacarte el correo que importa y abre hilos para cuadrar reuniones, incluso con participantes de fuera. Se le puede invocar por correo y, si es coworker, tiene buzón propio. Sigue trabajando horas o días después de que cierres el portátil. Y se conecta a cualquier servidor MCP dentro o fuera de la red de la empresa, el tipo de pasarela cuyos fallos de SSRF ya contamos.

La regla de Google para el coworker es que solo ve lo que le compartes. Nuestra lectura: a un buzón, compartirle algo es tan fácil como escribirle. En lo publicado, Google no dice si la dirección @agents acepta correo de fuera de la organización ni qué filtra antes de que el agente lo lea.

Defensas tiene, y las cuenta en público desde junio de 2025. Los autores del estudio de las invitaciones calificaron el 73% de sus amenazas como de riesgo alto o crítico. Con las mitigaciones de Google, calcularon que el riesgo residual podía bajar a muy bajo-medio. Lo que falta es contestar la pregunta más tonta: quién puede escribirle a tu compañero nuevo.

La firma propia sí vale

Toca reconocer lo que Google ha hecho bien, que no es poco. Cuando el agente actúa, escribe un registro de auditoría a su nombre y no al de una persona. Parece un detalle y es media vida. Si el agente usa tu cuenta, en el log la burrada la has hecho tú, y luego explícale a seguridad que fue la máquina.

Debajo hay fontanería seria: Google dice que cada agente recibe una identidad atestiguada criptográficamente. La pieza que documenta para eso en su plataforma de agentes, Agent Identity, sigue el estándar SPIFFE. A diferencia de una cuenta de servicio, no se comparte por defecto entre cargas, no se puede suplantar y no permite generar claves de larga duración. Un pase de la portería con su nombre: no se lo dejas al primo, no se falsifica y no deja sacar una copia de larga duración. En junio ya contamos cómo montó esa red de identidad y permisos para agentes. Comparado con una cuenta de servicio compartida y una clave eterna olvidada en un.env, es otra liga.

El acceso del coworker sigue a lo que compartes y a los grupos de los que es miembro, sin que ningún conector externo se quede con tus datos. Y Google asegura que sus controles cortan los flujos que intentan mandar información sensible a modelos no autorizados. La tarjeta de fichar está bien hecha. Es lo único del puesto que está terminado.

Tarjeta de fichar sí, contrato no

¿Cuánto humo hay? Poco en la identidad y mucho en la palabra "empleado". La tarjeta es real: firma propia, acceso por compartición y una identidad que no se presta. El contrato no existe todavía: no hay precio por cuenta ni se sabe si cada agente ocupa licencia. Nadie está obligado a responder por él, no hay baja publicada y no se sabe quién puede escribirle. Llamar a eso "governed like an employee" es llamar contrato indefinido a una tarjeta de fichar.

Si estás en la preview privada, ponle a cada agente un humano responsable con nombre y apellidos, y un suplente. Mete cada uno en su proyecto con su propio tope, para que la pulsera que se agote sea la suya y no la de toda la boda. Y nada de buzones compartidos ni direcciones @agents a la vista de fuera hasta que Google conteste por escrito qué filtra.

Si no estás, aprovecha que Google no ha puesto fecha. Escribe ahora la política de cuentas de agente, antes de que tus equipos empiecen a crear compañeros como quien crea cuentas de servicio. Ya sabemos cómo acaban esas: baratas de crear, a menudo sin dueño claro y vivas mucho después de que terminara el proyecto.

Hasta entonces, el compañero nuevo ficha, firma y contesta todos los correos. El día que uno salga torcido, el registro de auditoría te dará su nombre, no el de una persona.