diff --git a/agents/asistente-2/config.yaml b/agents/asistente-2/config.yaml
index 8666b05..ff2a4dd 100644
--- a/agents/asistente-2/config.yaml
+++ b/agents/asistente-2/config.yaml
@@ -162,6 +162,8 @@ matrix:
     dm_respond: true
     ignore_bots: true
     ignore_users: []
+    allowed_users: []            # vacío = sin restricción (todos pueden hablar)
+    unauthorized_response: silent  # silent | explicit
     min_power_level: 0
 
 # ============================================
diff --git a/agents/assistant-bot/config.yaml b/agents/assistant-bot/config.yaml
index ce0b4d7..e555f12 100644
--- a/agents/assistant-bot/config.yaml
+++ b/agents/assistant-bot/config.yaml
@@ -162,6 +162,11 @@ matrix:
     dm_respond: true             # responde en DMs (modo principal por ahora)
     ignore_bots: true
     ignore_users: []
+    allowed_users: []            # vacío = sin restricción (todos pueden hablar)
+    # allowed_users:             # ejemplo con restricción:
+    #   - "@admin:matrix-af2f3d.organic-machine.com"
+    #   - "@enmanuel:matrix-af2f3d.organic-machine.com"
+    unauthorized_response: silent  # silent | explicit
     min_power_level: 0           # cualquiera puede hablar con el assistant
 
 # ============================================
diff --git a/shell/matrix/listener.go b/shell/matrix/listener.go
index 9a8e666..5b585cf 100644
--- a/shell/matrix/listener.go
+++ b/shell/matrix/listener.go
@@ -236,6 +236,10 @@ func (l *Listener) shouldHandle(evt *event.Event) bool {
 		}
 		if !allowed {
 			l.logger.Debug("ignoring unauthorized user", "sender", evt.Sender)
+			if f.UnauthorizedResponse == "explicit" {
+				ctx := context.Background()
+				_ = l.client.SendText(ctx, evt.RoomID.String(), "No tienes permisos para interactuar con este agente.")
+			}
 			return false
 		}
 	}