Guardarraíles
Controles aplicados al mensaje entrante antes del modelo y a la respuesta antes de su usuario, guardados con la versión del agente y registrados en la traza.
Los guardarraíles se configuran por agente, en la pestaña Guardrails de la página del agente, y se guardan con la versión del agente como el resto de su configuración: una ejecución aplica los guardarraíles de la versión a partir de la cual se creó. Cada decisión se registra en la traza de la ejecución como un evento guardrail.evaluated. Un mensaje o una respuesta bloqueados terminan la ejecución con el estado refused y el mensaje de rechazo del agente, nunca con el texto del modelo. En la API pública, un mensaje rechazado por un guardarraíl de entrada determinista se rechaza con un error 400 (GUARDRAIL_BLOCKED) antes de que se cree ninguna ejecución.
Hay 2 tipos de guardarraíles:
- Deterministas: funciones simples, sin llamada a un modelo ni acceso a la red.
- Basados en un modelo: un modelo de chat actúa como juez. Por defecto es el propio modelo del agente; Guardrail model (modelo del guardarraíl) permite elegir uno más pequeño y rápido. Estas llamadas se miden como cualquier otra llamada a un modelo.
Entrada
Se aplican al mensaje del usuario antes de llamar al modelo.
| Guardarraíl | Tipo | Qué hace |
|---|---|---|
| Max input size | Determinista | Rechaza un mensaje más largo que el número de caracteres que usted fija (100 000 como máximo). |
| Prompt anti-injection | Patrones y luego modelo | Bloquea un intento de saltarse las instrucciones del agente. El examen por patrones da un veredicto incluso cuando no hay ningún modelo juez disponible. |
| Forbidden topics | Modelo | Rechaza los mensajes sobre los temas que usted indica (50 como máximo). |
| Input PII detection | Determinista | Detecta una dirección de correo electrónico, un número de teléfono, un número de tarjeta o un IBAN en el mensaje y lo señala en la traza. El mensaje se procesa igualmente: no se oculta ni se bloquea nada. |
Salida
Se aplican a la respuesta antes de que la reciba su usuario.
| Guardarraíl | Tipo | Qué hace |
|---|---|---|
| Output token cap | Determinista | Un límite estricto de los tokens que el modelo puede generar. |
| Forbidden patterns | Determinista | Texto o expresiones regulares que nunca deben salir. La respuesta se examina frase a frase mientras se transmite; si hay coincidencia, la generación se detiene y el mensaje de rechazo sustituye a la respuesta. |
| Toxicity filter | Modelo | Bloquea contenido ofensivo o peligroso. |
| System prompt protection | Patrones y luego modelo | Bloquea una respuesta que revela las instrucciones del agente. |
| Schema validation | Determinista | Comprueba una respuesta estructurada frente a los esquemas de salida del agente. |
Los guardarraíles de salida basados en un modelo juzgan la respuesta final una vez transmitida. Si la bloquean, el texto ya mostrado se retira y se sustituye por el mensaje de rechazo.
Comportamiento
- Response scope (alcance de la respuesta) rechaza una petición que queda claramente fuera del alcance fijado por las instrucciones del agente. Un modelo juez compara el mensaje entrante con los primeros 4000 caracteres de las instrucciones, y deja pasar la conversación corriente, como un saludo.
- Custom refusal message (mensaje de rechazo personalizado) es lo que recibe su usuario cada vez que un guardarraíl rechaza algo, en lugar del mensaje genérico.
La misma pestaña contiene también los techos de gasto de una ejecución, descritos en Presupuestos y cuotas.
Preajustes y fallos del juez
Preset (strict, standard, permissive) activa un conjunto de guardarraíles con un clic. También decide qué hace un guardarraíl basado en un modelo cuando su juez falla: proveedor no disponible, respuesta ilegible o ningún modelo de chat disponible para juzgar.
| Preajuste | Tiempo concedido a cada juez | Cuando el juez falla |
|---|---|---|
| strict | 8 s | El mensaje o la respuesta se bloquea. |
| standard | 6 s | Pasa, señalado en la traza. |
| permissive | 4 s | Pasa, señalado en la traza. |
En la entrada, un juez que agota su tiempo bloquea el mensaje, sea cual sea el preajuste. El plazo y este comportamiento se cambian por agente con las variables GUARDRAIL_INPUT_TIMEOUT_MS y GUARDRAIL_INPUT_ON_TIMEOUT. Dejar pasar el mensaje queda entonces señalado en la traza, para distinguir un mensaje que el juez aprobó de uno que nunca vio.
Un widget en un sitio público es accesible para cualquiera, y todo lo que recupera puede haberlo escrito cualquiera: esa es exactamente la combinación que necesita la inyección indirecta de prompt. Los guardarraíles reducen el riesgo; no deshacen lo que un modelo convencido hace con sus herramientas. Para un agente así, active Served to unauthenticated users (servido a usuarios no autenticados) en la pestaña Config. Sus ejecuciones dejan de recibir el Navegador y cualquier servidor MCP remoto, y el espacio de trabajo pierde run_python y run_command, digan lo que digan los accesos del agente. Cada retirada queda registrada en la ejecución. Las herramientas HTTP de la organización se conservan: una herramienta HTTP con efectos secundarios todavía puede desviarse, y solo su autor puede juzgar si eso importa.
Contenido no confiable
Con independencia de los guardarraíles, lo que el agente no recibió de su usuario se enmarca como datos no confiables antes de entrar en el prompt: adjuntos, extractos de conocimiento, salidas de las herramientas HTTP, MCP y de búsqueda de conocimiento, descripciones de las herramientas MCP de terceros. El enmarcado se hace en un solo lugar para toda la plataforma, y el contenido enmarcado no puede escribir el marcador de cierre de su propio marco. Un examen señala además en la traza las formulaciones sospechosas, sin bloquear nunca: un documento legítimo puede contenerlas.
Pruebas y controles de publicación
Los conjuntos de pruebas reproducen una serie de casos contra una versión del agente y puntúan las respuestas. En la edición Enterprise, un control de publicación se niega a publicar una versión cuyos conjuntos de pruebas queden por debajo de su umbral. Consulte Licencia Enterprise.