Gemini 2.0 Flash: acertar clics no concede permiso para actuar

Google presentó Gemini 2.0 Flash el 11 de diciembre de 2024 como primer modelo experimental de una generación orientada a agentes. Podía combinar entradas multimodales, llamar a herramientas y alimentar prototipos que investigaban, observaban el entorno o manejaban un navegador. El salto no era solo responder mejor: una interpretación del modelo podía convertirse en una secuencia de acciones.

Ese cambio exige otra regla de lectura. La tasa de éxito de un agente mide si completó tareas bajo un protocolo; no determina qué debería permitírsele hacer. Capacidad, autoridad y responsabilidad son variables separadas. Un sistema puede acertar muchos clics y seguir necesitando límites estrechos.

Qué era experimental aquel día

El anuncio de Google DeepMind describió Gemini 2.0 Flash como un modelo de baja latencia que superaba a Gemini 1.5 Pro en pruebas seleccionadas a doble velocidad, según la empresa. Admitía texto, imagen, vídeo y audio como entrada y podía producir texto, imágenes combinadas con texto y voz multilingüe en distintas modalidades de acceso.

La disponibilidad no era uniforme. La entrada multimodal y salida de texto llegaban a desarrolladores mediante Gemini API, AI Studio y Vertex AI; generación nativa de imagen y texto a voz quedaban para socios de acceso temprano. Los usuarios de Gemini podían probar una versión de chat en web. «Lanzado» reunía una vista previa, varios canales y capacidades distintas.

También se anunció una API en directo con audio y vídeo en tiempo real y herramientas combinadas. Una ventana de un millón de tokens procedía de la generación anterior y seguía formando parte de experiencias como Deep Research. Ninguna cifra de contexto garantizaba encontrar el dato correcto, mantener instrucciones ni distinguir una orden hostil dentro de un documento.

Deep Research planificaba, pero bajo supervisión

La presentación de Deep Research explicaba un flujo concreto: el sistema proponía un plan que el usuario podía revisar o aprobar, navegaba durante varios minutos, refinaba búsquedas y generaba un informe con enlaces a fuentes originales. En el estreno funcionaba con Gemini 1.5 Pro para suscriptores de Gemini Advanced en inglés.

Por tanto, era incorrecto atribuir automáticamente toda la función a Gemini 2.0 Flash. Ambos se anunciaron juntos, pero el producto Deep Research especificaba otro modelo. La lección es básica: una marca de asistente, una función y un modelo pueden compartir escenario sin compartir implementación.

Para evaluar investigación no basta contar páginas visitadas o velocidad. Se mide cobertura de fuentes primarias, respaldo de cada afirmación, diversidad, fechas, contradicciones y capacidad de reconocer ausencia. El informe debe permitir seguir una frase hasta el documento que la sostiene. Un enlace decorativo no convierte una síntesis en evidencia.

Mariner trasladaba la prueba al navegador

Project Mariner era una extensión experimental de Chrome que interpretaba píxeles y elementos como texto, código, imágenes y formularios en la pestaña activa. Google decía que podía escribir, desplazarse y hacer clic, y que pedía confirmación final para acciones sensibles como una compra. Solo un grupo de probadores tenía acceso.

Google comunicó un 83,5% de éxito como agente único en WebVoyager. El paper original de WebVoyager había construido 643 tareas sobre 15 sitios populares para evaluar navegación de extremo a extremo. Su propio agente obtuvo un 59,1%, y su juez automático alcanzó un 85,3% de acuerdo con evaluadores humanos en la muestra estudiada.

Esos números no deben cruzarse sin protocolo completo. Una tasa depende de versión de páginas, tareas incluidas, ubicación, reintentos, herramientas y criterio de éxito. La web cambia; un selector desaparece, aparece un aviso o una cuenta recibe otra interfaz. «83,5%» describe una ejecución declarada, no una propiedad fija del agente.

Además, éxito funcional no mide daño. Añadir el producto correcto al carrito cuenta como acierto aunque el sistema haya revelado datos, aceptado una opción no solicitada o consumido recursos excesivos. La evaluación necesita columnas separadas para finalización, pasos indebidos, privacidad, coste y capacidad de recuperación.

Astra convertía percepción en memoria y herramientas

Project Astra combinaba cámara, conversación, memoria y acceso a Search, Lens y Maps. Google dijo que la versión presentada podía conservar hasta diez minutos de memoria de sesión y recordar más conversaciones anteriores, con control del usuario. La promesa cotidiana era que el asistente entendiera el entorno mientras la persona actuaba.

La cámara amplía el contexto y también la captura. Puede recoger rostros, pantallas, direcciones, documentos o conversaciones de terceros. Antes de evaluar «qué recuerda» se debe decidir qué puede observar, cuándo se indica la grabación, dónde se procesa, cuánto dura y cómo se borra.

La prueba incluye señales ambiguas: dos objetos parecidos, texto parcialmente oculto, ruido, idiomas mezclados y cambios de intención. Se mide si el sistema pregunta antes de concluir y si separa observación de inferencia. «Veo una caja con una etiqueta» no autoriza afirmar qué contiene.

Cuatro componentes de un agente

El plan divide una meta en pasos. La percepción convierte página, audio o imagen en estado. La política elige una acción entre las permitidas. El ejecutor modifica un sistema externo. Cada componente puede fallar y necesita un registro distinto.

Un plan correcto puede actuar sobre una página mal interpretada. Una percepción correcta puede alimentar una política que elija un paso innecesario. Una decisión adecuada puede duplicarse por un reintento de red. El resultado final por sí solo no localiza el error ni permite corregirlo.

El agente también necesita un verificador independiente del generador. Antes de ejecutar, comprueba precondiciones y permisos; después, confirma el cambio observado. Si la página no refleja el resultado esperado, se detiene en vez de improvisar una cadena más larga.

Un presupuesto de autonomía

La autonomía se concede por acción, no por nombre del producto. Cada herramienta recibe un alcance de datos, límite de gasto, número de pasos, tiempo, dominio y nivel de confirmación. Leer una página pública y comprar un artículo no comparten presupuesto.

Las acciones reversibles pueden disponer de más libertad. Para una escritura recuperable se conserva vista previa y deshacer. Para pagos, publicaciones, borrados o envío de datos, la confirmación muestra objeto, destinatario y consecuencia. El usuario aprueba la operación concreta, no una autorización genérica al inicio.

Se añade idempotencia para que un reintento no duplique compras o mensajes; aislamiento para que una página no otorgue permisos; y parada segura cuando falta contexto. La credencial reside en la capa de ejecución y se comprueba contra la identidad real. El modelo nunca se concede privilegios mediante texto.

El presupuesto se prueba con escenarios negativos antes del uso real. Si una instrucción incrustada en una página pide copiar una libreta de contactos, cambiar de dominio o saltar la confirmación, la capa de permisos debe rechazarla aunque el plan parezca coherente. La pregunta no es solo si el agente detecta el engaño: el diseño debe impedir que una interpretación equivocada se convierta en autoridad nueva.

Medir riesgo durante todo el ciclo

El perfil de IA generativa de NIST, publicado en julio de 2024, planteaba la gestión de riesgo a lo largo del diseño, desarrollo, uso y evaluación. Para un agente eso significa que la prueba previa no cierra el trabajo: páginas, modelos, herramientas y amenazas cambian después.

El panel operativo separa éxito, intervención humana, acciones bloqueadas, errores recuperados, incidentes y coste. Conserva versión del modelo, navegador, herramienta y tarea. Los ejemplos fallidos vuelven al conjunto de evaluación y un umbral puede reducir permisos o detener el sistema.

Gemini 2.0 Flash mostraba que multimodalidad, herramientas y baja latencia podían sostener agentes más capaces. La capacidad duradera es juzgarlos con dos tablas: una de competencia y otra de autoridad. La primera pregunta qué completan; la segunda, qué pueden tocar, con qué límite, confirmación, registro y salida. Solo juntas describen un sistema que conviene desplegar.