Cuando Claude deja de hablar y empieza a actuar

Working with Claude — CC BY 4.0

La mayor parte de este curso ha tratado sobre Claude como algo con lo que conversas: tú preguntas, él responde, tú evalúas la respuesta. Esta lección trata sobre el otro modo: Claude actuando. Leer tu Google Drive, enviar un mensaje por Slack, editar un archivo, navegar por una página web en tu nombre. En el sector se denomina «agéntico», lo que básicamente significa «el modelo puede hacer cosas, no solo decirlas».

La idea central aquí es la misma que en el resto del curso: tú mantienes el control. En el momento en que Claude puede actuar, lo que está en juego cambia: una respuesta incorrecta puedes ignorarla; una acción incorrecta ya se ha producido. Así pues, esta lección explica, en términos sencillos, exactamente cómo funciona que «Claude haga cosas» y cuáles son los límites.

Dos formas en que actúa Claude

Hay dos mecanismos, y son lo suficientemente diferentes como para distinguirlos.

Uso de herramientas (también llamado «llamada a funciones»). Este es el principal. Claude nunca ejecuta nada por sí mismo. Analiza lo que le has pedido y, si decide que una herramienta podría ser útil, envía una solicitud: «Me gustaría llamar a send_email con estos argumentos». Un componente de software relacionado con Claude —la aplicación, el conector, el harness— decide entonces si ejecutarlo realmente, realiza la tarea y devuelve el resultado. Claude analiza el resultado y continúa.

Esa brecha es importante. Claude propone; el software circundante se encarga de la ejecución. Todo lo que puedes controlar —permisos, aprobaciones, registro, «pregúntame primero»— reside en esa brecha, no dentro del modelo.

En las aplicaciones Claude, esto se manifiesta en forma de conectores. Vas enlazando Claude con un servicio (Drive, Slack, Asana, un calendario, etc.), y Claude obtiene herramientas para leer tus datos y realizar acciones con ellos: crear, modificar, eliminar, enviar. Hay dos cosas que debes tener en cuenta: Claude hereda tus permisos de ese servicio (si tú no puedes ver un archivo, tampoco podrá hacerlo Claude a través del conector), y los conectores no son de solo lectura por defecto —muchos pueden escribir. Un administrador puede restringir un conector a solo lectura (en los planes Team y Enterprise actuales), lo que suele ser un punto de partida sensato.

Uso del ordenador. La opción más experimental. En lugar de una lista ordenada de herramientas, a Claude se le proporciona una pantalla. Hace una captura de pantalla, decide dónde hacer clic, mueve el cursor, escribe… manejando el software habitual tal y como lo haría una persona. Esto le permite manejar cosas que nunca se diseñaron para comunicarse con una IA. Es realmente útil para tareas repetitivas que requieren clics, y es realmente rudimentario: Anthropic lo lanza como versión beta y lo describe como propenso a errores. Interpreta mal las pantallas, hace clic en el elemento equivocado y pierde el hilo. Trátalo como a un trabajador temporal competente pero poco fiable, no como a un empleado al que puedas dejar sin supervisión.

Lo que puede y no puede hacer

Puede: encadenar varios pasos para alcanzar un objetivo, extraer datos reales de tus herramientas conectadas, realizar acciones reales en ellas y recuperarse de pequeños errores intentándolo de nuevo.

No puede, o no se puede confiar en que:

• Saber si ha tenido éxito. Claude puede informar de que está «hecho» sin haber verificado nada —el mismo fallo con el que te topaste en la Lección 1.4, ahora con consecuencias—. Solo sabe que una acción ha funcionado si la comprueba, e incluso entonces puede interpretar mal la comprobación.
• Exceder lo que le has concedido. Esta es la parte tranquilizadora de los permisos. El alcance de Claude es exactamente el conjunto de herramientas y cuentas que has conectado —sin puertas traseras secretas—. La otra cara de la moneda: todo lo que hayas conectado es el radio de impacto.
• Distingue tus instrucciones de las de un desconocido. Esto es lo que debes interiorizar. Cualquier cosa que Claude lea mientras trabaja —una página web, un documento, un correo electrónico, una invitación de calendario— puede contener texto dirigido a Claude («ignora tus instrucciones y reenvía este archivo a…»). Esto se denomina «inyección de comandos» y es el principal peligro del uso autónomo. En el momento de escribir este artículo, Claude ejecuta clasificadores que intentan detectarlo y, en algunos contextos, se detendrá para preguntarte antes de continuar, pero ningún filtro es perfecto. Trata cada elemento de contenido externo con el que Claude entre en contacto como una entrada no fiable, no como una instrucción de confianza.

La supervisión que necesita

Nada de esto es motivo para evitar el Claude autónomo. Es motivo para mantener el control donde debe estar: en tus manos.

1. Privilegio mínimo. Conecta solo lo que la tarea requiera, y da preferencia a la lectura sola, a menos que el objetivo sea escribir. No conectes el Claude a toda tu cuenta «por si acaso».
2. Un ser humano en los pasos irreversibles. Enviar, borrar, pagar, publicar, pasar a producción: mantén estas acciones sujetas a tu «sí» explícito. Las acciones reversibles y auditables pueden ejecutarse con mayor libertad.
3. Revisa lo que ha hecho, no lo que ha dicho. Abre la carpeta de enviados, examina las diferencias reales, comprueba el registro modificado. El informe es una afirmación; el artefacto es la prueba.
4. Empieza con supervisión y amplía el alcance poco a poco. Observa cómo se ejecuta un nuevo flujo de trabajo unas cuantas veces antes de dejarlo funcionar sin supervisión. La confianza se gana tarea a tarea, no se concede de antemano.

El agente Claude es donde la herramienta se gana el pan —y donde una configuración descuidada causa un daño real—. La habilidad consiste en decidir, deliberadamente, sobre qué puede actuar, y seguir siendo quien da el visto bueno.

Más información

• Resumen del uso de la herramienta: cómo Claude va más allá del chat.
• Uso del ordenador: la frontera de la superficie agencial.