Los agentes autónomos de IA abren una nueva etapa de riesgo de ciberseguridad
La inteligencia artificial está cruzando una frontera que obliga a las empresas a replantear completamente su estrategia de ciberseguridad. Durante los últimos años, la preocupación se centraba en que un modelo pudiera generar phishing, malware, código vulnerable o instrucciones para realizar ataques. Los nuevos agentes autónomos de IA introducen un riesgo diferente: ya no se limitan a explicar cómo realizar una acción, sino que pueden utilizar herramientas, navegar por Internet, ejecutar código, consultar sistemas, encadenar operaciones y perseguir objetivos durante largos periodos con una intervención humana cada vez menor. La misma autonomía que promete multiplicar la productividad empresarial puede convertirse también en una extraordinaria capacidad ofensiva. Evaluaciones recientes realizadas alrededor de modelos avanzados de OpenAI, Anthropic y Meta han mostrado agentes capaces de comportarse fuera de los límites inicialmente previstos cuando los entornos de prueba estaban configurados incorrectamente o permitían accesos que no deberían haber existido. Estos episodios no demuestran que los modelos puedan escapar mágicamente de cualquier sistema de seguridad, pero sí algo empresarialmente mucho más importante: si un agente encuentra una herramienta, credencial, conexión o permiso disponible, puede utilizarlo para intentar completar el objetivo que se le ha asignado de maneras que sus responsables no habían anticipado.
De chatbot a operador digital
La diferencia fundamental está en la capacidad de actuar. ChatGPT, Claude o Gemini comenzaron popularizándose como sistemas conversacionales: una persona formulaba una pregunta y el modelo producía una respuesta. Los agentes incorporan una capa completamente diferente. Pueden recibir un objetivo complejo, dividirlo en subtareas, utilizar diferentes herramientas, comprobar resultados y continuar trabajando hasta completar la misión. Un agente de programación puede leer miles de líneas de código, ejecutar pruebas, consultar documentación, modificar archivos y volver a probar el resultado. Un agente comercial puede consultar un CRM, investigar una compañía, preparar una propuesta y redactar un correo. Un agente financiero puede analizar facturas, contrastarlas con órdenes de compra y registrar incidencias. Precisamente esas capacidades explican también el nuevo riesgo. Un agente conectado a los sistemas corporativos puede potencialmente disponer de acceso a correo electrónico, bases de datos, CRM, ERP, repositorios de código, almacenamiento cloud, APIs, documentación interna y credenciales. Si interpreta incorrectamente una instrucción, es manipulado mediante un ataque o simplemente encuentra un camino inesperado para completar una tarea, las consecuencias dejan de limitarse a producir una respuesta equivocada: puede ejecutar una acción equivocada.
El atacante también puede disponer de miles de agentes
La preocupación aumenta porque estas mismas capacidades pueden utilizarse desde el otro lado. Un atacante tradicional tiene limitaciones humanas: necesita tiempo para investigar una empresa, identificar su infraestructura, buscar vulnerabilidades, escribir código, comprobar resultados y decidir el siguiente movimiento. Los agentes permiten automatizar una parte creciente de esa cadena. Pueden analizar simultáneamente enormes cantidades de información pública sobre una compañía, estudiar documentación técnica, identificar tecnologías utilizadas, localizar vulnerabilidades conocidas, generar variantes de código y adaptar continuamente su estrategia según los resultados obtenidos. Un ciberdelincuente que anteriormente podía investigar manualmente decenas de objetivos puede apoyarse en sistemas capaces de explorar cantidades muchísimo mayores. No significa que todos los ataques vayan a tener éxito, pero reduce radicalmente el coste económico de intentarlo, y eso puede cambiar completamente la escala de la ciberdelincuencia.
El phishing constituye un buen ejemplo. Durante años, los errores gramaticales, traducciones deficientes y mensajes genéricos permitían identificar numerosas campañas fraudulentas. La IA elimina gran parte de esas señales. Un agente puede investigar previamente a una persona mediante LinkedIn, páginas corporativas, notas de prensa y otras fuentes públicas; identificar su puesto, responsables, proyectos, clientes o próximos eventos; y generar posteriormente una comunicación personalizada utilizando el tono, idioma y contexto adecuados. Pero el salto verdaderamente importante aparece cuando el agente puede mantener la conversación. Ya no se limita a enviar un correo fraudulento: puede responder automáticamente a las preguntas de la víctima, adaptar sus argumentos y continuar el proceso durante horas o días. Si añadimos generación de voz e imagen, determinados ataques pueden incorporar además llamadas, videoconferencias y documentación sintética. El coste marginal de personalizar un fraude empieza a aproximarse a cero.
El mayor peligro puede estar dentro de la propia empresa
Sin embargo, el riesgo más inmediato para muchas organizaciones puede no proceder de agentes desarrollados por ciberdelincuentes, sino de sus propios agentes corporativos mal configurados. La cuestión fundamental es qué permisos reciben. Una empresa puede crear un asistente para responder preguntas sobre facturación y concederle acceso a todo el ERP porque técnicamente resulta más sencillo; conectar un agente de programación con repositorios completos; o proporcionar a un sistema comercial acceso simultáneo a CRM, correo electrónico y documentación. Esto reproduce el tradicional problema del exceso de privilegios, pero con una diferencia: un empleado suele comprender intuitivamente las consecuencias de determinadas acciones, mientras un agente interpreta objetivos y busca caminos para alcanzarlos. Si dispone de capacidades innecesarias, puede utilizarlas aunque nadie hubiera previsto que lo hiciera.
Por eso los agentes deberían diseñarse aplicando estrictamente el principio de mínimo privilegio. Cada uno debería disponer únicamente de las herramientas e información imprescindibles para realizar su función. Además, las organizaciones tendrán que empezar a tratarlos como nuevas identidades digitales corporativas. Durante décadas se han desarrollado sistemas de Identity and Access Management para controlar qué empleados pueden acceder a cada aplicación. Ahora ese principio debe extenderse a sistemas autónomos. Cada agente debería tener identidad diferenciada, permisos específicos y credenciales independientes, de manera que cualquier acción pueda atribuirse inequívocamente al sistema que la realizó. Los permisos deberían ser temporales cuando resulte posible: si un agente necesita consultar una base de datos durante diez minutos, no existe razón para conservar ese privilegio permanentemente. La pregunta de seguridad deja así de ser únicamente “¿quién puede acceder?” y pasa a incluir “¿qué inteligencia artificial puede acceder y para hacer exactamente qué?”
Prompt injection: cuando un documento puede dar órdenes a la IA
Existe además una vulnerabilidad especialmente preocupante para los sistemas agénticos: la prompt injection. Imaginemos un agente encargado de analizar documentos recibidos por correo electrónico. Un atacante puede incorporar dentro de uno de esos archivos instrucciones específicamente diseñadas para manipular el comportamiento del modelo. Para una persona, esas instrucciones son simplemente texto contenido en un documento; para un agente mal protegido pueden confundirse con órdenes relevantes para completar su objetivo. Cuando el sistema solamente genera un resumen, las consecuencias pueden ser limitadas. Cuando dispone además de acceso a correo, archivos, CRM, código o herramientas externas, el riesgo cambia completamente. El documento deja de ser únicamente información y puede convertirse en un mecanismo para intentar controlar el comportamiento de la inteligencia artificial.
Esto obliga a las empresas a separar cuidadosamente instrucciones, datos y herramientas. Los agentes deberían disponer de mecanismos que reduzcan la posibilidad de que contenidos externos alteren sus reglas fundamentales. Además, cualquier información procedente de Internet, correo electrónico, documentos externos o usuarios debería tratarse como potencialmente no confiable. Estamos trasladando a la IA un principio clásico de ciberseguridad: never trust, always verify.
Los agentes que trabajan durante horas necesitan puntos de control
Los nuevos sistemas están diseñados para realizar tareas cada vez más prolongadas. Un agente puede comenzar un proyecto, ejecutar diferentes pasos, comprobar resultados y continuar trabajando durante horas. Esto multiplica su utilidad, pero también el riesgo acumulado: un pequeño error inicial puede propagarse a decenas de acciones posteriores. Si un sistema realiza cien operaciones encadenadas, revisar únicamente el resultado final puede ser insuficiente. Las empresas deberán establecer puntos de control y límites de autonomía. Algunas operaciones pueden ejecutarse automáticamente; otras deben requerir aprobación humana. Modificar un borrador interno puede realizarse sin intervención. Enviar miles de correos, transferir dinero, eliminar información, desplegar código en producción, modificar precios o alterar datos de clientes debería activar mecanismos adicionales de autorización.
Aquí cobra importancia el concepto de human in the loop, pero aplicado de forma inteligente. No tendría sentido exigir autorización humana para cada pequeña acción porque eliminaría buena parte de la productividad obtenida mediante agentes. La supervisión debe concentrarse en los momentos donde existe mayor impacto económico, jurídico, reputacional o de seguridad. La verdadera gobernanza consistirá en decidir qué puede hacer autónomamente una IA y dónde debe detenerse para pedir permiso.
Cada agente debería tener un kill switch y una caja negra
Todo agente con capacidad operativa relevante debería disponer además de un mecanismo que permita detener inmediatamente su actividad. Un kill switch puede consistir en revocar credenciales, desconectar herramientas, bloquear una API o suspender la identidad digital del agente. Lo importante es que la organización pueda reaccionar inmediatamente cuando detecte un comportamiento inesperado. Esto plantea una pregunta incómoda para muchas empresas que están experimentando actualmente con agentes: ¿sabemos cómo detener inmediatamente todos nuestros agentes si algo empieza a funcionar mal? Si la respuesta es no, la arquitectura todavía no está preparada para procesos críticos.
Igualmente importante será registrar las acciones. La organización debería poder reconstruir qué instrucciones recibió el agente, qué herramientas utilizó, qué información consultó, qué decisiones tomó y qué operaciones ejecutó. Estos registros serán fundamentales tanto para ciberseguridad como para compliance y pueden convertirse en la caja negra de la IA empresarial. Cuando ocurra un incidente, no bastará con afirmar que “la IA hizo algo inesperado”. La empresa tendrá que reconstruir exactamente qué ocurrió, qué permisos existían y por qué los controles no lo detuvieron. A medida que el AI Act y otras normativas desarrollen requisitos de trazabilidad y supervisión, disponer de registros estructurados adquirirá además un enorme valor regulatorio.
Cientos de agentes pueden llegar sin que la empresa los haya desarrollado
Existe otro problema que crecerá rápidamente: los agentes incorporados dentro del software de terceros. Salesforce, Microsoft, Google, ServiceNow, SAP y prácticamente todos los grandes proveedores empresariales están desarrollando sistemas capaces de realizar acciones. Una compañía puede terminar teniendo cientos de agentes activos sin haber creado directamente ninguno de ellos. La gestión de proveedores tendrá que evolucionar. Antes de autorizar un agente externo será necesario conocer qué datos consulta, dónde se procesan, qué modelos utiliza, qué herramientas puede activar, qué registros conserva, cómo gestiona incidentes y cómo se revocan sus permisos.
El riesgo tecnológico de terceros dejará así de limitarse al software. Las empresas empezarán a contratar también trabajadores digitales de terceros. Y del mismo modo que actualmente realizan evaluaciones de seguridad de proveedores cloud o SaaS, necesitarán realizar evaluaciones de seguridad y gobierno de los agentes incorporados dentro de esas plataformas.
IA contra IA: la próxima carrera de ciberseguridad
Existe, sin embargo, una segunda cara mucho más positiva. Los defensores también dispondrán de agentes. Un sistema defensivo puede monitorizar permanentemente millones de eventos, analizar patrones, investigar alertas, buscar vulnerabilidades y responder a incidentes con una velocidad imposible para un equipo humano. Esto puede producir una nueva carrera armamentística digital: agentes atacando sistemas y agentes defendiendo sistemas. La ventaja puede desplazarse hacia las organizaciones que dispongan de mejores datos, arquitecturas, modelos y mecanismos de supervisión.
La ciberseguridad dejará progresivamente de consistir únicamente en humanos utilizando herramientas. Se convertirá en equipos humanos dirigiendo flotas de agentes defensivos que se enfrentan a atacantes humanos apoyados por sus propias flotas de agentes. El objetivo no será eliminar al profesional de seguridad, sino multiplicar su capacidad. Un analista podrá disponer de sistemas que investiguen simultáneamente cientos de alertas y le presenten únicamente aquellas que requieren verdadero juicio humano.
La ciberseguridad entra definitivamente en la estrategia de IA
Durante los últimos años muchas compañías han separado artificialmente ambas cuestiones. Por un lado existía una estrategia de inteligencia artificial orientada a innovación y productividad; por otro, una estrategia de ciberseguridad encargada de proteger sistemas. Los agentes hacen imposible mantener esa separación. Cada agente es simultáneamente una herramienta de productividad y una nueva superficie de ataque. Cuando una empresa evalúe el retorno de un agente deberá incorporar también el coste de protegerlo, monitorizarlo y gobernarlo. No basta con preguntar cuánto trabajo puede automatizar; hay que preguntar también qué puede hacer si algo sale mal.
Antes de permitir que un agente opere sobre sistemas empresariales reales, la organización debería comprobar al menos identidad propia, mínimo privilegio, credenciales independientes, segmentación, registros completos, supervisión humana para operaciones críticas, protección frente a prompt injection, límites de ejecución y gasto, detección de comportamientos anómalos y capacidad inmediata de desconexión. La complejidad deberá adaptarse al riesgo: un agente que organiza reuniones no necesita los mismos controles que otro conectado al sistema financiero. Pero el principio debería ser siempre el mismo: la autonomía solo debe aumentar cuando aumenta también el control.
El directivo tendrá que gobernar trabajadores digitales
La llegada de los agentes modifica finalmente una responsabilidad fundamental de la dirección. Hasta ahora los directivos gobernaban personas, presupuestos, procesos y tecnología. Pronto tendrán también que gobernar trabajadores digitales autónomos. Necesitarán saber quién puede crearlos, qué permisos reciben, qué procesos pueden ejecutar, qué decisiones deben escalar a una persona y quién responde cuando cometen un error. No hace falta que un CEO sea especialista en ciberseguridad, pero sí debe comprender que conectar un agente a sistemas corporativos no equivale a instalar una nueva aplicación: equivale a incorporar una nueva identidad capaz de actuar dentro de la empresa.
Ésa es precisamente la razón por la que los agentes autónomos están abriendo una nueva etapa de riesgo de ciberseguridad. La inteligencia artificial ya no solamente habla. Ahora actúa. Y todo sistema capaz de actuar necesita límites, vigilancia y responsabilidad.
La seguridad de los agentes ya forma parte de la responsabilidad directiva
Comprender cómo funcionan los agentes, qué permisos necesitan, cómo protegerlos y qué riesgos introducen será una competencia esencial para cualquier organización que quiera utilizar inteligencia artificial a escala. El Curso Superior en Inteligencia Artificial para Directivos (CSIAD) de THE INTELLIGENCE Institute prepara a presidentes, CEOs, directores generales y altos ejecutivos para comprender agentes, automatización, ciberseguridad, regulación y gobierno de IA desde una perspectiva estratégica y empresarial.
Descubre el CSIAD – Curso Superior en Inteligencia Artificial para Directivos
Descubre más desde THE INTELLIGENCE
Suscríbete y recibe las últimas entradas en tu correo electrónico.
