¿Por qué se pueden autorizar todas las herramientas que solicita mi agente, pero no su secuencia?

Los agentes de IA ejecutan llamadas a herramientas que, por separado, superan los controles de permisos habituales. Sin embargo, una secuencia a nivel de sesión de llamadas autorizadas individualmente puede dar lugar a una capacidad que nadie ha aprobado: leer un archivo de entorno, buscar patrones de credenciales en él y, a continuación, enviar el resultado mediante un método POST a un punto final externo. La autorización tradicional opera en el ámbito de una sola llamada y carece de un modelo que tenga en cuenta lo que permite una secuencia. El incidente de Cline, ocurrido en febrero de 2026, lo demostró de forma concreta: una incidencia maliciosa en GitHub encadenó lecturas y escrituras válidas individualmente para llevar a cabo la instalación de un paquete que llegó a 4.000 equipos de desarrolladores. La autorización basada en la intención a nivel de secuencia no existe hoy en día como primitiva de producción.