Tus agentes leen texto que tú no escribiste. La descripción de un problema de un cliente. Un comentario en un pull request. El README de una dependencia. El HTML de una página que uno de ellos descargó para comprobar cómo se comporta una API. El cuerpo del error que devolvió un servicio de terceros a las 2 de la madrugada. Todo es texto, y el texto puede llevar instrucciones.
Claude Opus 5.5 es mediblemente mejor a la hora de no seguirlas. Anthropic reporta un 85% menos de intentos exitosos de eludir límites. Es un avance real y merece la actualización por sus propios méritos. Aun así no es una barrera de seguridad, y la semana en que salió es la semana en que esa distinción se volvió más importante, no menos.
TL;DR
Una barrera de seguridad es un límite que se mantiene sin importar lo que el agente decida hacer. La negativa de un modelo no lo es: es una decisión, y una decisión puede cambiar con la entrada adecuada. Opus 5.5 acierta en esa decisión muchísimo más a menudo que su predecesor, y eso no cambia a qué puede acceder una ejecución, quién tiene las credenciales ni quién lee el diff. Mientras tanto, cuesta un 40% menos ejecutarlo que Claude Opus 5, y GPT-6 Sol y GPT-6 Luna llegaron el mismo día a 2/10 y 0,10/0,50 dólares por millón de tokens. La tasa de fallo por ejecución bajó. Tu volumen de ejecuciones está a punto de subir. Diseña para el producto de ambos.
Cuando salió GPT-6 Astra escribimos sobre las cuatro cosas que necesita un agente que usa un ordenador: un host, un límite, un registro y un aceptador. Ese artículo trataba sobre dónde ocurre la ejecución. Este va sobre qué pasa cuando la ejecución lee algo hostil.
El número es una ratio, y tu volumen no es fijo
Los incidentes son una tasa multiplicada por un recuento de ejecuciones. Solo uno de esos dos términos mejoró el 22 de septiembre de 2026.
El otro se movió con fuerza en la dirección contraria. Opus 5.5 se anuncia a 4 dólares por millón de tokens de entrada y 20 por millón de salida, frente a los 5 y 25 de Opus 5, con lecturas en caché a 0,20, y Anthropic sitúa el coste total de ejecutarlo un 40% por debajo de Opus 5. Al otro lado del mismo día de lanzamiento, OpenAI puso GPT-6 Sol a 2/10 y GPT-6 Luna a 0,10/0,50, y reportó que Sol, con razonamiento extra-alto, obtiene un 33,2% en AutomationBench 1.0.6 a 0,27 dólares por tarea, lo que según OpenAI equivale a aproximadamente el 9% de lo que costaba por tarea Claude Opus 5 con razonamiento máximo para una puntuación inferior.
Así que haz la multiplicación con tu propio equipo en lugar de con un benchmark. Si la tasa de fallo por ejecución baja un 85% y ejecutas diez veces más ejecuciones de agentes porque cada una ahora cuesta una fracción de lo que costaba, acabas con aproximadamente 1,5 veces los incidentes absolutos que tenías antes. Eso no es una medición de nada. Es aritmética, y es la forma de los próximos meses. Un modelo más barato y más seguro es una razón para delegar más. Delegar más es lo que vuelve a subir el número.
Eludir límites no es lo mismo que la inyección de prompts
Merece la pena ser precisos, porque las dos cosas se confunden en todos los hilos sobre este lanzamiento. Eludir límites abarca que un agente se salte una regla que se le dio, sea cual sea la causa: tu propia instrucción, su razonamiento o el texto que leyó por el camino. La inyección de prompts es una vía hacia eso, y es la vía a la que tu arquitectura está más expuesta, porque llega dentro de contenido que se supone que tus agentes deben leer.
Una reducción del 85% en la primera es una buena noticia para la segunda. No es una tasa de defensa frente a la segunda y nadie debería citarla como tal. Trátala como tratarías que un compilador mejore al detectar errores de tipos. Menos llegan hasta ti. La clase de bug sigue existiendo.
Lo que elimina un modelo mejor, y lo que no puede
Elimina trabajo real, y eso merece decirse con claridad. Menos ejecuciones descarriladas por un README envenenado. Menos páginas descargadas que logran convencer a un agente de ejecutar un comando que nadie pidió. Mayor valor esperado en cada ejecución desatendida, lo cual importa más ahora que Anthropic reporta que Opus 5.5 se mantiene en la tarea durante 18 horas o más. Una ejecución que dura más que tu jornada laboral es una ejecución que nadie está vigilando.
Lo que no puede eliminar es la autoridad. Un agente al que es mucho menos probable convencer sigue teniendo exactamente las credenciales, el acceso a la red y el ámbito de escritura del repositorio que le diste. La inyección no necesita escalar permisos. Solo necesita usar los que ya están ahí, en un orden que no pretendías. El radio de impacto es una propiedad del host y del token, no del modelo.
| Capa | Qué detiene | Qué no puede detener |
|---|---|---|
| Modelo | Contenido que intenta llevar al agente más allá de sus reglas. Opus 5.5 reporta un 85% menos de intentos exitosos. | Los intentos que aún llegan a buen puerto, y cualquier cosa que lea como una petición legítima tuya. |
| Aprobación en tiempo de ejecución | Acciones que están detrás de un aviso de aprobación o de una denegación por revisión automática. | Todo lo que está dentro de los permisos ya concedidos. |
| Ordenador y credenciales | Todo lo que el host no tiene. Un token de staging no puede llegar a producción. | Todo lo que el host sí tiene. |
| Límite de la tarea | Cambios que se escapan del directorio aislado o del worktree de esta ejecución. | Un cambio incorrecto hecho limpiamente dentro de él. |
| Aceptación humana | Que un resultado incorrecto llegue a main. | Absolutamente nada, si un revisor está aprobando a ciegas diez veces el volumen. |
Solo la fila de arriba mejoró esta semana. La de abajo es la que los recortes de precios acaban de poner bajo presión.
Usa la actualización del modelo cuando el fallo con el que te sigues topando es un agente que se equivoca o al que convencen de algo. Cambia la estructura cuando el fallo con el que te sigues topando es que nadie se dio cuenta hasta el jueves. El primero es un problema del modelo y Opus 5.5 es una respuesta genuinamente buena para él. El segundo nunca fue un problema del modelo y ningún lanzamiento lo va a arreglar.
Tres ajustes que merece la pena cambiar esta semana
Sharkly es la capa que está por encima de los agentes. Contiene la Task, el Computer, las credenciales, el registro de ejecución y la persona que acepta. Tres de esos merece la pena ajustarlos en el momento en que las ejecuciones se vuelven baratas.
Vincula las credenciales por Agent, no por Computer. Las variables de entorno simples y secretas son ajustes del Agent. Las ejecuciones baratas significan más Agents, y más Agents significa más posibilidades de que uno de ellos lleve un token que no debería llevar. El Agent de triaje que lee los problemas entrantes de clientes es el objeto más inyectable de toda tu configuración, y debería tener un ámbito de lectura y nada más. Nuestra guía sobre permisos de agentes de programación cubre cómo decidir la lista de concesiones.
Trata el ámbito de lectura como parte de la Task, no como una comodidad. De dónde puede descargar contenido un Agent es ahora una decisión de diseño. Cualquier cosa que lea puede llevar instrucciones, así que "comprobar cómo se comporta la API de este proveedor" y "seguir las instrucciones de configuración de esta página" son dos Tasks distintas con dos riesgos distintos. Dónde deberían aterrizar los hallazgos web de un agente entra en eso en detalle.
Escribe qué cambios lee una persona línea por línea. No como un hábito, sino como una regla en el Workflow: migraciones de esquema, cualquier cosa que toque la autenticación, cualquier cosa que añada una dependencia, cualquier cosa que un Agent haya producido mientras nadie estaba despierto. Todo lo demás puede pasar con evidencias. Las barreras de aprobación son donde vive esa regla, y escribirla es lo que mantiene la atención en las filas donde la atención rinde.
La cola es lo que no se abarató
Todos los anuncios del 22 de septiembre de 2026 hicieron el trabajo de los agentes más barato, más seguro o ambas cosas, por ejecución. Ninguno hizo que una persona leyera más rápido. Esa asimetría es el verdadero problema de diseño, y es por lo que la revisión humana es el cuello de botella en lugar de la calidad del modelo.
Por eso la respuesta es estructural en lugar de tener forma de modelo. Cada ejecución recibe un directorio aislado, de modo que una comprometida queda contenida en lugar de ser discutida. La ejecución, los bloqueos, los resultados y el debate de seguimiento vuelven a la Task en lugar de pasar de largo en la terminal de alguien, que es la única forma en que un revisor puede distinguir una ejecución que fue desviada de una que simplemente falló. Los elementos que requieren atención aterrizan en una sola Bandeja de entrada para que las decisiones que necesitan a una persona no queden enterradas bajo las ejecuciones que terminaron limpiamente. El contexto, el progreso, los bloqueos, los resultados y la revisión humana permanecen visibles desde la petición hasta el lanzamiento.
Entonces el contrato se mantiene, sin cambios por nada de lo que haya lanzado cualquiera de los dos laboratorios esta semana. Los agentes investigan, ejecutan, prueban y reportan. Las personas marcan la dirección, conceden autoridad y aceptan el resultado. Opus 5.5 hace más fiable la primera frase. No toca la segunda.
Si ya estás ejecutando varios agentes y esta actualización está a punto de tentarte a ejecutar más, lo que hay que añadir no es un modelo mejor. Conecta un Computer, dale a un Agent el conjunto de credenciales más limitado que aún le permita hacer su trabajo, y asígnale algo aburrido.
