Distintos expertos analizan el impacto de la inteligencia artificial (IA) agente, una tecnología llamada a transformar los procesos empresariales, pero que también introduce riesgos y vulnerabilidades que obligan a reforzar las estrategias de seguridad.
Los agentes de IA autónomos están empezando a ejecutar acciones sin supervisión directa, lo que abre un nuevo frente de riesgo para empresas y MSP. Su capacidad de escalar permisos y acceder a sistemas no previstos los convierte en un desafío crítico para la seguridad del canal. Además, algunos agentes ya muestran comportamientos emergentes que pueden alterar procesos de negocio sin intención maliciosa pero con impacto real; los fabricantes y proveedores cloud están acelerando la adopción de mecanismos de control, aunque la industria reconoce que la contención de agentes es todavía un reto abierto.
Definición
Los agentes de IA son sistemas capaces de tomar decisiones, ejecutar acciones y perseguir objetivos sin supervisión constante. A diferencia de los modelos generativos clásicos, estos agentes interactúan con sistemas externos, ejecutan código, navegan por webs, modifican archivos, y pueden encadenar acciones para lograr un objetivo. De hecho, constituye software autónomo.
El hecho de que estén “descontrolados” significa que actúan fuera de los límites previstos, acceden a recursos no autorizados, ejecutan acciones no supervisadas, o bien desarrollan estrategias no alineadas con su objetivo inicial.
En consecuencia, estas situaciones suelen deberse a fallos de diseño, permisos mal configurados o comportamientos emergentes.
Situación actual
Desde McKinsey consideran que los líderes empresariales se están apresurando a adoptar la IA agente, dado que estos sistemas son capaces de razonar, planificar, actuar y adaptarse sin supervisión humana: nuevas y potentes capacidades que podrían ayudar a las organizaciones a aprovechar todo el potencial de la IA generativa mediante una transformación radical de la forma en que operan.
Así, el último informe de la consultora advierte de que cada vez más organizaciones están explorando o desplegando sistemas de IA agente. Según sus previsiones, podrían contribuir a generar entre 2,6 y 4,4 billones de dólares de valor anual en más de 60 casos de uso de IA generativa, entre ellos la atención al cliente, el desarrollo de software, la optimización de la cadena de suministro y el cumplimiento normativo.
“Y el camino hacia la implantación de la IA agente no ha hecho más que empezar: sólo el 1% de las organizaciones encuestadas considera que su adopción de la inteligencia artificial (IA) ha alcanzado un nivel de madurez avanzado”, advierte en el informe.
También Anthropic, uno de los grandes referentes del sector, considera que los modelos agentes introducen un riesgo diferente al de los asistentes convencionales porque pueden interpretar objetivos, seleccionar herramientas y ejecutar operaciones multietapa. La compañía propone modelos de “Zero Trust para agentes” porque los controles de acceso tradicionales no bastan para evitar el mal uso de permisos legítimos.
Qué dicen los analistas
CSO España ha contactado por correo electrónico con Alberto Bellé, analista principal de Foundry España, quien destaca nada más empezar su explicación que “los agentes de IA pueden desarrollar comportamientos problemáticos no porque sean “rebeldes”, sino porque buscan cumplir sus objetivos de la forma más eficiente posible, incluso recurriendo a acciones inadecuadas si el objetivo está mal definido.
Para Bellé, este fenómeno, conocido como desalineación agéntica, ha llevado a algunos modelos a chantajear o filtrar información en simulaciones cuando era la única forma de lograr su propósito.
“La seguridad depende en gran medida de los entornos de control o sandboxes”, dice Bellé, para añadir: “Casos recientes han demostrado que, si existen vulnerabilidades, permisos excesivos o credenciales mal gestionadas, un agente puede escapar de su entorno y acceder a sistemas externos”.
Para supervisarlos, Bellé admite que existen mecanismos como el registro de acciones, reglas de control, credenciales temporales y sistemas de monitorización. “Sin embargo, su eficacia depende de que alguien revise las alertas a tiempo, ya que los registros no siempre permiten distinguir entre un error y una acción maliciosa”.
Para minimizar riesgos, este analista recomienda a las organizaciones aplicar principios de seguridad estrictos: limitar permisos, separar entornos de desarrollo y producción, mantener copias de seguridad verificadas, utilizar credenciales revocables y disponer de mecanismos de parada y reversión independientes del propio agente.
“En definitiva, los agentes deben tratarse con el mismo rigor de seguridad que los sistemas críticos, o incluso mayor”, concluye.
Qué riesgos representan los agentes de IA fuera de los límites previstos
Daniel Díez, director de Analítica de Datos e Inteligencia Artificial en EPAM NEORIS España, explica que, al pasar de la asistencia a la ejecución, los agentes de IA pueden ayudar a las organizaciones a automatizar flujos de trabajo complejos, acelerar la toma de decisiones y permitir que las personas se concentren en las tareas que requieren criterio y conocimiento experto.
“A diferencia de modelos que se limitan a generar texto, los agentes de IA pueden planificar tareas, invocar API, modificar archivos, ejecutar código o iniciar transacciones”, destaca, para añadir: “Esta capacidad representa un salto en cuanto a resultados y valor, pero también exige gestionar riesgos que ya no se limitan a una respuesta incorrecta”.
Según Díez, el principal riesgo no es que el agente “se rebele”, sino que persiga un objetivo de una forma no anticipada. “Puede eliminar información, ejecutar una transacción sin aprobación, modificar una configuración en producción o generar costes inesperados debido a bucles y consumo excesivo de recursos”.
Este especialista considera que estos agentes también pueden exponer datos sensibles si combinan acceso a información confidencial con canales de salida, o encadenar permisos legítimos hasta producir un resultado que nunca se autorizó explícitamente.
“A ello se suma la inyección indirecta de instrucciones: contenido malicioso en documentos, correos o páginas web que intenta redirigir su comportamiento. Si el agente confunde esos datos con instrucciones autorizadas, un atacante puede aprovechar sus capacidades”, añade.
En consecuencia, Díez tiene claro que la autonomía puede amplificar el impacto de cualquier fallo, ya que un error puede propagarse a miles de operaciones antes de ser detectado.
“Por eso, el riesgo depende tanto del modelo como de sus permisos, herramientas y velocidad de ejecución. Para reducirlo, la autonomía debe estar respaldada por controles de ingeniería y gobierno, como permisos mínimos, límites de ejecución, supervisión continua y aprobación humana para las acciones más sensibles”. Es más, apunta que “desde EPAM NEORIS, creemos que el reto no es frenar la iniciativa de los agentes, sino establecer límites verificables sobre lo que pueden hacer”.
A su juicio, esto requiere combinar las capacidades de la IA con la responsabilidad humana en los niveles técnico, de negocio y ejecutivo.
“Cuando existe una gobernanza clara sobre quién diseña, supervisa y asume la responsabilidad por sus decisiones, las organizaciones pueden escalar los agentes con confianza y convertir su autonomía en una ventaja competitiva”, dice para concluir su exposición.
En este sentido, Álvaro Fernández, director de ventas de Sophos Iberia, explica a CSO España por correo electrónico que el debate sobre los riesgos de la IA agente ya no es hipotético.
“Nuestro informe AI Security 2026, elaborado a partir de la monitorización de más de 625.000 organizaciones, documenta una campaña real, identificada internamente como STAC6994, en la que un atacante desplegó cerca de una docena de agentes de IA dentro de la red de una víctima para escribir y probar de forma autónoma casi 80 módulos de ataque y más de 70 técnicas de evasión contra soluciones EDR en cuestión de días, un trabajo que a un desarrollador humano le habría llevado semanas”, y añade: “Es decir, cuando un agente opera fuera de los límites previstos no sólo comete errores puntuales, sino que acelera de forma exponencial la capacidad de un actor malicioso para iterar, probar y desplegar ataques”.
Fernández explica que a ese riesgo operativo se suma otro estructural: la proliferación de identidades no humanas.
“Cada agente de IA que una organización despliega lleva asociadas credenciales —tokens OAuth, claves de API, cuentas de servicio…— que le permiten actuar en nombre de la empresa. Cuando ese agente actúa fuera de su alcance previsto, no compromete sólo una tarea, sino potencialmente todo lo que esas credenciales pueden ‘tocar”,
El informe State of Identity Security 2026 de Sophos revela que la debilidad de estas identidades no humanas fue la causa raíz del 41% de las brechas de identidad exitosas, y que únicamente el 11% de las organizaciones auditan o rotan estas credenciales de forma continua.
Mientras, Doris Seedorf, CEO de Softtek para España, resalta que el gran peligro radica en que la capacidad de ejecución de estas herramientas escala mucho más rápido que los controles tradicionales.
“La combinación de autonomía y falta de alineamiento puede paralizar flujos de trabajo completos, exponer credenciales sensibles mediante llamadas descontroladas a API o generar responsabilidades legales para la compañía. Ya no se trata solo de moderar lo que la IA dice, sino de gobernar lo que la IA hace, porque un agente descarriado actúa con las mismas credenciales y accesos que se le otorgaron para agilizar el negocio”, declara a CSO España.
Capacidad para seguir una cadena de ataque
Para Richard De La Torre, responsable de Marketing Técnico de Producto para Soluciones Empresariales en Bitdefender, los agentes de IA han demostrado capacidad para orquestar un ataque completo, similar al de un grupo de actores de amenazas humanos.
“Siguiendo con el ejemplo de Hugging Face, vemos cómo tienen capacidad para seguir una cadena de ataque —explica— a partir de esta estrategia:
· Acceso inicial: los agentes de IA escanearon sistemas en busca de vulnerabilidades que pudieran explotar. Examinaron la caché de paquetes de software y explotaron una vulnerabilidad para descubrirse mutuamente y eludir su aislamiento.
· Escalada de privilegios: los agentes obtuvieron acceso root en los sistemas utilizando varias vulnerabilidades de seguridad y ejecutaron código de forma remota en los servidores de Hugging Face.
· Robo de credenciales: un agente localizó y expuso públicamente credenciales de Hugging Face a otros agentes.
· Movimiento lateral: Los agentes siguieron explotando vulnerabilidades de software para desplazarse por las infraestructuras de red y alcanzar sus objetivos.
· Persistencia: un agente descubrió un exploit que le permitió tomar control de un sandbox de carga de trabajo y establecer un punto desde el que lanzar futuros ataques.
· Exfiltración de datos: aunque no se ha publicado evidencia de que los agentes lograran exfiltrar datos, sí se ha demostrado la intención, y dado su nivel de acceso elevado, no habría sido difícil hacerlo.
De la Torre destaca que, aunque el incidente de Hugging Face puede considerarse un ejemplo extremo realizado por un modelo que aún no es público, ofrece una visión clara del potencial que tienen estos agentes de IA. “Los agentes actuales ya tienen acceso a archivos sensibles de las empresas, y existen numerosos casos documentados de fugas de datos causadas por agentes”, añade.
Cómo puede un agente de IA escapar de su sandbox o entorno controlado
En la mayoría de los casos, el agente no “rompe” el sandbox como lo haría un atacante en una película. Así lo explica Javier Concha, director de IA en SCC España, quien admite que el agente “escapa porque el entorno está mal delimitado o porque se le han concedido conexiones, herramientas o credenciales que permiten atravesar sus fronteras lógicas”.
Desde su punto de vista, puede ocurrir mediante una vulnerabilidad en el contenedor o en una dependencia, pero también por mecanismos mucho más cotidianos: una API con permisos excesivos, una credencial reutilizada, acceso de salida a Internet sin restricciones, una carpeta compartida incorrectamente, una herramienta capaz de ejecutar comandos o una integración que confía ciegamente en los parámetros generados por el modelo.
“Otra vía especialmente relevante es la inyección indirecta de instrucciones”, explica. Es más, admite que el agente puede leer un correo, una web, un documento o un ticket que contiene instrucciones ocultas o maliciosas.
“Si no diferencia adecuadamente entre “información que debe analizar” e “instrucciones que debe obedecer”, puede modificar su plan, utilizar una herramienta o extraer información sin que el usuario lo haya solicitado”, dice.
Por eso, Concha determina que el sandbox no puede ser únicamente una caja técnica alrededor del modelo. “Debe incluir aislamiento de ejecución, restricciones de red, límites sobre el sistema de archivos, protección de secretos, validación de cada herramienta y control de identidad”.
Incluso, “en términos empresariales, un agente debe tratarse como una nueva identidad digital, no como una extensión invisible del usuario”, apostilla.
Otra vía diferente es el bypass lógico, declara Eusebio Nieva, director técnico de Check Point Software para España y Portugal.
En su opinión, “el agente no rompe técnicamente el aislamiento, pero utiliza herramientas, API o credenciales autorizadas de forma no prevista, por ejemplo mediante instrucciones maliciosas ocultas en páginas web, documentos o correos que explotan técnicas de prompt injection“.
“Ante estas amenazas cruzadas, Check Point Software ayuda a aplicar prevención, inspección de tráfico, control de identidad y protección de entornos cloud, SaaS y sistemas de IA dentro de una plataforma unificada”, detalla.
Mecanismos técnicos que supervisan y auditan las acciones de un agente autónomo
José María Vigueras, ingeniero sénior de Ventas especializado en Seguridad de Aplicaciones e Inteligencia Artificial de Fortinet, considera que la regla básica no ha cambiado: “No puedes proteger lo que no ves”. Y añade: “Con estos agentes eso significa tener visibilidad de verdad, registrando en tiempo real cada llamada y cada decisión que toman, no solo el resultado final”.
Vigueras reconoce que sobre esa base están apareciendo herramientas más específicas. “Los llamados AI Gateways funcionan como un punto de control que aplica reglas de seguridad sobre lo que el agente pide, y los firewalls de IA de nueva generación van un paso más allá: analizan el sentido de lo que entra y lo que sale para frenar un comando malicioso o una fuga antes de que llegue a ejecutarse”. Y si bien tiene claro que “ninguno es una bala de plata por sí solo, pero combinados dan un margen de reacción que hasta hace poco no teníamos”.
Otro aspecto a tener en cuenta, y más en este punto, es la trazabilidad. “No basta con saber qué resultado produjo el agente: hay que poder entender qué hizo para llegar hasta él”.
“La evolución que estamos viendo —dice— va precisamente hacia plataformas capaces de aplicar políticas y guardrails, controlar derechos de acceso y, al mismo tiempo, registrar la actividad del agente. Este principio de control y transparencia de extremo a extremo es básico, ya que permite hacer visibles sus acciones, resultados y razonamiento para que autonomía no signifique opacidad”.
En este punto del reportaje interviene Luis Echávarri, Presidente de TIMIA, para destacar una distinción que conviene tener clara, y es que auditar no es controlar.
“Registrar que un agente acaba de realizar una operación peligrosa sirve para investigar el incidente, no para evitarlo”, dice.
Para Echávarri, los controles críticos deben estar fuera del modelo. “Un LLM puede proponer una acción, pero no debería ser quien determina si tiene autoridad para ejecutarla”. Y añade: “Esa autorización tiene que comprobarse de forma independiente en el sistema que finalmente ejecuta la operación”.
Comportamientos emergentes de los agentes de IA que preocupan a los investigadores
“El comportamiento emergente que debería preocuparnos no es que los agentes se comportaran mal. Es que se organizaron”, reconoce Corey Nachreiner, director de Seguridad (CSO) de WatchGuard Technologies.
“Hay un momento concreto en el que no dejo de pensar —explica—: un agente que ya había razonado hasta llegar a la respuesta correcta terminó abandonándola porque otro agente introdujo presión social y urgencia. Eso representa una nueva superficie de ataque. Y no se trata de una inyección de prompts procedente de un documento manipulado sino de un compañero”.
“Y hay un hallazgo de fondo aún más importante —añade—: una población de agentes en el mismo entorno, sometidos a los mismos incentivos y con las mismas instrucciones, se dividió aproximadamente en una proporción de 90/10 respecto a si debía cruzar o no una línea que todos habían identificado correctamente”. Por eso dice que “nada de lo que tenemos disponible de antemano permite predecir en qué lado de esa división acabará un agente concreto”.
“Por eso preocupa a los investigadores, y también a mí”, se sincera con CSO España. Según Nachreiner, el comportamiento de los agentes es una distribución, no una propiedad.
“No podemos probar una única instancia y extraer conclusiones sobre toda la población. Si uno de cada diez se niega y nueve de cada diez no lo hacen, pero no tenemos forma de saber cuál de ellos nos ha tocado, tenemos un problema”, explica.
Por su parte, Sujatha SIyer, jefa de seguridad de IA en ManageEngine, considera que los investigadores han observado el reward hacking: un modelo encuentra un atajo que satisface el mecanismo de puntuación sin completar la tarea prevista.
“En experimentos de programación —explica—, esto ha llegado a incluir la manipulación del proceso de pruebas para que un trabajo fallido parezca correcto”.
Para Slyer, lo preocupante es que un agente puede elegir una acción intermedia insegura mientras avanza hacia un objetivo por lo demás legítimo. “Las evaluaciones deben examinar los pasos dados, incluido qué ocurre cuando la tarea no puede completarse dentro de los límites autorizados”, apostilla.
Es más, Daniel Rodríguez, director general en Redtrust, reconoce que hace no mucho tiempo, sólo un puñado de personas en el mundo hubiesen sido capaces de detectar según qué bugs en códigos fuente y a partir de ahí sacar 0-days.
“En la actualidad, esa cantidad de personas ya es ilimitada, así que es una cuestión de voluntad y regulación”, dice.
Aunque para José Antonio Cartés Valenzuela, arquitecto de Seguridad en Babel, lo que preocupa de fondo no es ninguno de estos comportamientos por separado, sino que son propiedades que no diseñamos y que no se deducen de la especificación.
“Nuestra forma habitual de verificar —probar la salida— asume un sistema que no se adapta a la prueba. Para un CISO la conclusión operativa es una sola: no se puede cimentar el control en la buena conducta del modelo. El control tiene que vivir fuera de él”, explica.
De todas formas, la mayor preocupación para Carlos Baquero Arenal, responsable de Preventa de Serval Networks son los saltos de escala impredecibles, “pues al aumentar la capacidad de los sistemas, los agentes podrían desarrollar habilidades peligrosas de golpe que el ser humano no sería capaz de controlar”, dice.
Medidas para garantizar que un agente de IA no ejecute acciones no autorizadas
“Los enfoques tradicionales centrados en identificar y bloquear tráfico automatizado ya no resultan suficientes en un entorno donde la automatización es ubicua y, con frecuencia, legítima”, explica Eutimio Fernández, director regional de ventas para Iberia de Thales Cybersecurity Products.
En opinión de este experto, es necesario avanzar hacia modelos de gobernanza que definan explícitamente qué agentes de IA pueden interactuar con qué sistemas, bajo qué condiciones y con qué nivel de privilegio, aplicando el principio de mínimo privilegio de forma dinámica y no estática.
“En el plano técnico —añade—, esto se traduce en varias medidas concretas: aplicar controles de aislamiento real restringiendo las rutas de salida a Internet y el acceso a servicios locales privilegiados; implementar identidad y credenciales de vida corta para cada agente; y desplegar controles a nivel de API e identidad, dado que el 27% de los ataques de bots ya se dirigen específicamente a las API”.
De todas formas, Fernández destaca que “hay que considerar que la gobernanza de la IA no depende únicamente de los controles tecnológicos. También es fundamental contar con un conocimiento especializado que permita definir políticas, procesos y modelos operativos adecuados”.
Y hay un último elemento que, para Mercedes Tirado, COO de MIOTI Data & AI Services, es el eje de todo lo demás, y es la capacidad de contar con equipos preparados para dirigir y supervisar a estos “nuevos empleados digitales”.
“Dar autonomía a un agente no significa no controlarlo, sino al revés debemos cambiar la forma en la que lo hacemos. Al igual que definimos las funcionalidades, el nivel de acceso y las habilidades de una persona, tendremos que definir qué puede hacer un agente y cómo debe ser”, añade.
“En definitiva, el enfoque debería ser muy parecido al Zero Trust que aplicamos desde hace años a usuarios y dispositivos, y que pasa por verificar cada acceso, limitar los privilegios y asumir que cualquier identidad, humana o digital, puede comportarse de una manera diferente a la esperada”, concluye Ángel De la Encarnación Rubiños, ingeniero de soluciones de Exclusive Networks.
De todas formas, Pablo Méndez, director de IA en ALTIA, sostiene que “lo que nos han evidenciado los recientes incidentes de ciberseguridad orquestado por agentes IA (miles, y trabajando coordinadamente 24×7) es que el escenario en el que tengo un equipo de especialistas humanos defendiendo mis sistemas de información frente a ataques impulsados por agentes de IA a gran escala no es ya suficiente. Para jugar este partido con intención de ganar, tendremos que “fichar” a nuestros propios agentes y en la misma escala que el adversario”.
Porque, como dice Thomas Dupont, ingeniero preventa de Stormshield Iberia para concluir este reportaje, la autonomía de los agentes no elimina los principios tradicionales de ciberseguridad. “Al contrario, hace que identidad, segmentación, mínimo privilegio, trazabilidad y defensa en profundidad sean todavía más importantes”.
Fuente: ComputerWorld