Apps y agentes en ChatGPT: la interfaz no define el permiso

El 6 de octubre de 2025, OpenAI presentó tres familias de producto durante DevDay: aplicaciones que aparecen dentro de ChatGPT, herramientas para construir agentes y nuevos modelos accesibles mediante API. Juntas acercaban la conversación a tareas externas; separadas, resolvían problemas distintos. Una app aporta interfaz y conexión, un agente organiza pasos y herramientas, y un modelo genera o interpreta contenido.

La distinción importa porque una conversación fluida puede ocultar una arquitectura con varias empresas, credenciales y efectos reales. Pedir una lista de canciones, buscar vivienda o modificar un sistema empresarial no exige el mismo permiso. La capacidad duradera es dibujar el recorrido de datos y acciones antes de confundir comodidad con autorización.

Una app en el chat sigue siendo un tercero

El anuncio oficial de las apps explicó que ChatGPT podía proponer una integración cuando resultara pertinente o activarla cuando el usuario escribiera su nombre. Spotify, Canva, Coursera, Figma, Expedia, Booking.com y Zillow formaban el grupo inicial. Sus interfaces podían mostrar listas, mapas, presentaciones o vídeo dentro de la conversación.

El 6 de octubre, esas apps estaban disponibles en inglés para usuarios conectados de los planes Free, Go, Plus y Pro fuera del Espacio Económico Europeo, Suiza y Reino Unido, siempre donde funcionara el servicio asociado. El Apps SDK se ofrecía en preview. OpenAI aún preveía abrir más adelante el envío de aplicaciones para revisión y explicar la monetización.

Esta fotografía temporal evita dos errores. Un anuncio global no significa disponibilidad en toda región o plan. Y un SDK abierto a desarrolladores no significa que cualquier aplicación ya pueda publicarse. Para verificar una función hay que registrar fecha, territorio, cuenta, fase del producto y mecanismo de distribución.

La conversación mezcla contexto de varias procedencias

Según OpenAI, la primera conexión debía mostrar al usuario que ciertos datos podían compartirse con el desarrollador de la app. La empresa exigía política de privacidad clara, recolección mínima y transparencia sobre permisos. Eso establece una intención de diseño; no sustituye la lectura de qué campos concretos recibe cada integración y para qué los conserva.

En una solicitud pueden coexistir el texto que el usuario escribe, el historial que ChatGPT selecciona, datos de la cuenta externa, resultados devueltos por su servidor y telemetría de ambas plataformas. “Usar contexto” es demasiado impreciso para auditar. Hay que nombrar origen, destinatario, finalidad, duración y posibilidad de borrado de cada dato.

La interfaz integrada tampoco cambia la identidad del responsable. Un mapa de Zillow o una lista de Spotify puede verse dentro de ChatGPT y seguir procediendo del backend del socio. Antes de enviar información sensible conviene distinguir qué procesa OpenAI, qué recibe el tercero y qué términos gobiernan la cuenta enlazada.

MCP transporta posibilidades; no concede confianza

El Apps SDK se construyó sobre Model Context Protocol, un estándar abierto para conectar modelos con herramientas y datos. OpenAI añadió capacidades para que el desarrollador definiera lógica e interfaz y conectara su propio backend. La estandarización reduce trabajo de integración y permite describir herramientas de forma común.

Pero un protocolo no decide si una herramienta debería ejecutarse. Puede expresar que existe una operación para buscar, reservar o actualizar; la política debe determinar quién puede llamarla, con qué argumentos, sobre qué recursos y después de qué confirmación. Confundir transporte con autorización convierte una conexión técnicamente correcta en un riesgo.

La ficha de una herramienta necesita nombre, efecto, datos de entrada, credencial utilizada, alcance, reversibilidad y respuesta. Una operación de lectura puede ejecutarse automáticamente si el riesgo es bajo; una compra, envío o borrado necesita controles más estrictos. La diferencia se define por consecuencia, no por la naturalidad del mensaje.

AgentKit organiza el sistema, pero no demuestra su fiabilidad

El anuncio de AgentKit reunió Agent Builder, Connector Registry, ChatKit y nuevas funciones de evaluación. Agent Builder ofrecía un lienzo visual con nodos, herramientas, guardrails, ejecuciones de prueba y versiones. Connector Registry centralizaba conexiones. ChatKit permitía insertar una interfaz conversacional. Evals añadía conjuntos de datos, calificación de trazas, optimización de instrucciones y evaluación de modelos de terceros.

En el lanzamiento, las fases no eran iguales: ChatKit y las nuevas capacidades de Evals estaban disponibles para desarrolladores; Agent Builder figuraba en beta; Connector Registry empezaba un despliegue beta para algunos clientes de API, Enterprise y Edu con una consola administrativa. Presentar el paquete entero como producto plenamente disponible borraría estas diferencias.

Un editor visual puede acelerar el prototipo y mejorar la visibilidad del flujo. No demuestra que el agente complete correctamente una tarea imprevista. Una biblioteca de guardrails puede detectar determinadas entradas o datos personales; no convierte cualquier combinación de herramientas en segura. El control debe corresponder a una amenaza y medirse.

App, agente y modelo son tres capas

La app es el punto de interacción y la integración con un servicio. El agente decide una secuencia: consulta información, elige herramientas, comprueba resultados y continúa. El modelo propone texto, llamadas o representaciones. Cambiar el modelo puede alterar calidad y coste, pero no corrige por sí solo permisos excesivos o una herramienta irreversible.

La página de DevDay 2025 anunció por separado GPT-5 Pro en la API y Sora 2 para generación de vídeo. También informó de más de 800 millones de usuarios semanales de ChatGPT y cuatro millones de desarrolladores. Son cifras declaradas por OpenAI y describen alcance de plataforma, no usuarios de cada app ni resultados de un agente concreto.

La escala de distribución puede atraer servicios, pero no acredita adopción o calidad. Para una app hacen falta conexiones activas, tareas completadas y abandonos. Para un agente, éxito por tipo de caso, errores y correcciones humanas. Para un modelo, calidad, latencia y coste sobre un conjunto definido. Una métrica de plataforma no reemplaza las de producto.

El permiso se diseña alrededor del efecto

Una matriz sencilla cruza herramientas y datos. Para cada celda registra si la operación solo lee, propone, crea, modifica, envía dinero o borra; qué identidad actúa; y si puede revertirse. Después asigna autorización: siempre permitida, limitada por alcance, confirmada en cada ocasión o prohibida.

La confirmación debe describir el efecto real, no un botón genérico. “Enviar este correo a estas dos direcciones”, “reservar por este precio” o “reemplazar este archivo” permite decidir. Si el agente cambia destinatario, importe o recurso, la autorización anterior deja de servir. Confirmar una intención amplia no legitima todos los argumentos que el modelo invente.

Las credenciales también deben tener el mínimo alcance. Una integración que consulta disponibilidad no necesita permiso para cancelar reservas. Un agente que redacta una respuesta no necesita enviarla. Separar preparación y ejecución crea un punto de revisión y reduce el daño de una instrucción maliciosa contenida en una página o documento.

La traza permite saber dónde falló

Una evaluación de resultado solo dice si la tarea terminó. La calificación de trazas observa cada paso: qué contexto recibió el modelo, qué herramienta eligió, qué argumentos produjo, qué devolvió el servicio y por qué continuó. Así distingue un error de razonamiento, un dato incorrecto, un fallo de autorización y una respuesta externa inesperada.

El conjunto de pruebas debe contener casos normales, datos ausentes, instrucciones contradictorias, intentos de inyección, respuestas lentas, duplicados y operaciones que requieren confirmación. Se mide éxito, llamadas innecesarias, acciones no autorizadas, coste y capacidad de recuperación. Una demostración rápida muestra facilidad de montaje; una batería repetible muestra comportamiento.

Versionar flujo, instrucciones, herramientas y modelos hace comparable cada cambio. Si mejora la tasa final pero aumenta acciones indebidas, no es una mejora neta. Los registros de producción deben permitir investigar sin almacenar más contenido sensible del necesario y deben señalar cuándo intervino una persona.

La plataforma se audita como una cadena

El recorrido empieza en la petición, continúa por la selección de contexto, la decisión del modelo, la llamada a una herramienta, el servicio externo y la respuesta visible. En cada frontera se anotan datos, identidad, permiso, validación, registro y salida. Si una casilla queda desconocida, el sistema no está listo para una consecuencia alta.

Las apps y AgentKit mostraron una dirección clara en octubre de 2025: convertir la conversación en interfaz para software y facilitar que los desarrolladores ensamblaran flujos. La conclusión útil no es que ChatGPT se convirtiera de una vez en sistema operativo. Es que la interfaz podía reunir capas que seguían conservando responsabilidades distintas.

La capacidad transferible es no autorizar por apariencia. Ante cualquier app o agente conversacional, se separan interfaz, datos, decisión, herramienta y efecto; luego se exige permiso y evaluación en la capa correcta. Una conversación puede hacer sencillo el uso. Solo ese mapa hace comprensible el control.