Los agentes filtran datos de tres formas: a través de los argumentos que reenvían en una llamada a herramienta, a través de lo que escriben en la memoria de la conversación, y a través de lo que repiten en una respuesta. Un memorando de política no detiene ninguna de las tres — las tres parecen el agente haciendo su trabajo. Lo que las detiene es una capa de tokenización en tiempo de ejecución que intercepta el texto en cada uno de esos tres puntos y elimina la PII antes de que cruce tu límite. Así es como funciona esa capa.
Redactar lo que entra en el prompt del LLM es lo mínimo indispensable y no cierra la brecha. La ruta de datos de un agente tiene tres lugares donde un valor en bruto puede salir del perímetro, y ninguno de ellos pasa por el prompt.
El agente decide llamar a una herramienta — una API de calendario, un CRM, un procesador de pagos — y reenvía los datos sobre los que está razonando como argumento de la llamada. MCP no incluye metadatos de sensibilidad por campo, por lo que el servidor de la herramienta recibe, por defecto, lo que sea que el agente envíe, en texto plano.
El historial de conversación persiste entre turnos para que el agente tenga contexto. Cualquier texto que se añada a ese historial — incluido el número de la seguridad social de un cliente o un detalle médico que surja a mitad de la conversación — permanece ahí en texto plano durante toda la sesión, a menos que algo lo tokenice antes de que se produzca la adición.
La respuesta final devuelta al solicitante se construye a partir del contexto que el agente recuperó y sobre el que razonó. Si la tokenización solo se ejecuta a la entrada, un valor que entró como token puede reaparecer sin tokenizar en la respuesta saliente.
El argumento más profundo de por qué la llamada a la herramienta — y no el prompt — es donde realmente ocurren la mayoría de las fugas en producción está en Tu agente de IA está filtrando PII a través de llamadas a herramientas. Aquí está la prueba.
VeriSwarm Guard cierra los tres vectores con la misma llamada subyacente — POST /v1/suite/guard/pii/tokenize — aplicada en el punto donde cada vector, de otro modo, filtraría datos. El texto pasa por un motor de detección NER basado en Presidio (Presidio + spaCy NER, más reconocedores de expresiones regulares personalizados para identificadores que Presidio no cubre de fábrica) y vuelve con cada fragmento de PII sustituido por un token tipado — [VS:EMAIL:a1b2c3], [VS:SSN:f9e2d1], y así sucesivamente. El agente, el servidor de la herramienta y cualquier cosa registrada entre ambos ven el token. El valor original se restaura, cuando realmente se necesita, mediante una llamada aparte a POST /v1/suite/guard/pii/rehydrate, delimitada a la sesión que creó los tokens.
Guard Proxy es una capa de interceptación de MCP transparente. Apunta el cliente MCP de tu agente al proxy en lugar de directamente al servidor de la herramienta, y tokenizará la PII tanto en la solicitud saliente de la llamada a la herramienta como en la respuesta entrante — sin cambios en el código del agente. Tres modos de despliegue: alojado en la nube, Docker on-prem, stdio local.
El propio runtime de agentes de VeriSwarm llama al endpoint de tokenización sobre la respuesta del agente antes de que esa respuesta se añada al historial de la conversación y antes de que se devuelva al solicitante. El valor escrito en la memoria y el valor repetido en la respuesta son el mismo texto tokenizado — no dos controles separados que puedan desincronizarse.
El pilar de protección de PII cubre el caso más amplio a favor de la tokenización frente a la redacción del prompt de entrada — por qué el DLP no cubre el tráfico de agentes, la salvedad de la seudonimización del RGPD, el registro de auditoría de Vault, el enfoque para el sector salud. Esta página es más estrecha y más operativa: es un mapa de los tres puntos específicos en la ruta de datos de un agente donde realmente ocurre una fuga, y qué mecanismo cierra cada uno. Lee el pilar para conocer la arquitectura completa y el razonamiento de cumplimiento; lee esta página para saber, en concreto, dónde apuntar la solución.
La tokenización reduce la superficie de PII en los tres vectores anteriores y te da un registro de auditoría de cada interceptación cuando Vault está habilitado — no garantiza que nunca se filtren datos. Una llamada a herramienta que evita Guard Proxy, o una integración personalizada que no llama al endpoint de tokenización antes de reenviar los datos, es una ruta de fuga que esta capa nunca ve. Guard cierra los vectores en los que está integrado; conectar uno nuevo depende de ti la primera vez que construyas una ruta de fuga que todavía no cubra. La inyección es un riesgo relacionado pero distinto — una entrada manipulada que altera qué herramienta se llama, en lugar de la PII en los argumentos de una legítima — cubierto por separado en Detección de Inyección de Prompts para Agentes de IA.
A través de los argumentos de llamada a herramienta — un agente reenvía PII en bruto a un servidor de herramientas MCP (una API de calendario, un CRM, un procesador de pagos) en texto plano. A través de lo que escribe en la memoria — el número de la seguridad social de un cliente o un detalle médico se añade al historial de conversación y permanece ahí durante toda la sesión. A través de lo que repite en la respuesta — una respuesta construida a partir de contexto tokenizado aún puede mostrar el valor original si se omite el paso de tokenización a la salida. Las tres comparten una propiedad: ninguna parece una violación de política. Parecen el agente haciendo su trabajo.
No — eso detiene el punto de fuga que menos daño causa. Que el LLM nunca vea PII es una buena práctica, pero la llamada a la herramienta que el LLM decide hacer después es donde los datos realmente salen de tu perímetro. Un agente puede ser escrupulosamente cuidadoso con lo que pone en un prompt y aun así reenviar el número de teléfono de un cliente literalmente a un servidor de herramientas MCP de terceros, porque la especificación de MCP no incluye de forma inherente metadatos de sensibilidad de datos por campo. La cobertura tiene que extenderse a través de la llamada a la herramienta, no detenerse en el límite del modelo.
El texto se pasa a POST /v1/suite/guard/pii/tokenize, que lo hace pasar por un motor de detección NER basado en Presidio (Presidio + spaCy NER, más reconocedores de expresiones regulares personalizados para identificadores que Presidio no cubre) y devuelve el texto con cada fragmento de PII sustituido por un token tipado — [VS:EMAIL:a1b2c3], [VS:SSN:f9e2d1], y así sucesivamente. El mapa de token a valor está delimitado por tenant y nunca viaja junto con la carga útil tokenizada. Los tokens solo son reversibles mediante POST /v1/suite/guard/pii/rehydrate, delimitado a la sesión que los creó, para el caso concreto en que un sistema descendente necesita el valor real para hacer su trabajo — escribir en un registro de CRM, por ejemplo.
Para el vector de llamada a herramienta, no. Guard Proxy es una capa de interceptación de MCP transparente — el cliente MCP de tu agente apunta a la URL del proxy en lugar de al servidor de la herramienta directamente, y tokeniza la PII tanto en la llamada saliente a la herramienta como en la respuesta entrante antes de que cualquiera de las dos cruce el límite. Tres modos de despliegue cubren alojado en la nube, Docker on-prem y stdio local. Para los vectores de memoria y de eco, el propio runtime de agentes de VeriSwarm ya llama al endpoint de tokenización antes de añadir una respuesta al historial de conversación o de devolverla al solicitante — esa infraestructura viene incluida como parte de la plataforma, no es algo que tengas que construir.
Guard — la tokenización de PII, Guard Proxy y el análisis de inyección que se ejecuta junto a él — es una función del plan Max. Gate, la puntuación de confianza del nivel gratuito de VeriSwarm, te da visibilidad sobre el comportamiento del agente y el flujo de eventos antes de que necesites la capa de tokenización; Guard es donde activas la aplicación.
No, y hay que ver con escepticismo a cualquier proveedor que afirme lo contrario. La tokenización reduce la superficie de PII en cada uno de los tres vectores cubiertos aquí y te da un registro de auditoría de cada interceptación cuando Vault está habilitado. No cubre rutas de fuga fuera de esas tres — una integración mal configurada que evita Guard Proxy, o una ruta de llamada a herramienta personalizada que no pasa por el paso de tokenización, sigue necesitando conectarse deliberadamente.
La tokenización de PII de Guard es una función del plan Max; el nivel gratuito de Gate te da la puntuación de confianza y la visibilidad de eventos para ver a dónde va realmente el dato de un agente antes de activar la solución.