La ciberseguridad nunca fue un campo estático, pero lo que está ocurriendo ahora con los agentes de IA es diferente a cualquier cosa que hayamos visto antes.

Durante décadas, proteger sistemas digitales significaba básicamente construir muros, monitorear puertas de entrada y responder a amenazas conocidas. Funcionaba, no perfectamente, pero funcionaba. Ahora, las reglas del juego cambiaron de forma bastante significativa. 🎯

Los agentes de IA salieron de los laboratorios de investigación y fueron directo al corazón de las operaciones corporativas. No estamos hablando de chatbots que responden preguntas o de asistentes que resumen correos electrónicos. Estamos hablando de sistemas autónomos que ejecutan tareas complejas, toman decisiones, acceden a bases de datos, modifican código, envían comunicaciones y encadenan workflows completos, todo esto sin intervención humana en cada etapa.

Microsoft, Google, Anthropic, OpenAI y Salesforce ya están desplegando sistemas de IA agéntica que operan a través de aplicaciones y datos, mucho más allá de simples interfaces de chat. Gartner proyecta que el 40% de las aplicaciones empresariales van a incorporar agentes de IA específicos para tareas hasta 2026, saltando de menos del 5% en 2025. Es una adopción a velocidad de cohete. 🚀

El problema es que las amenazas están creciendo a la misma velocidad, y los mecanismos de defensa claramente no están siguiendo ese ritmo. Vulnerabilidades en el Model Context Protocol (MCP), ataques de prompt injection, exfiltración de datos a través de asistentes de IA: la superficie de ataque se está expandiendo más rápido que las defensas diseñadas para protegerla. Este desequilibrio entre la velocidad de adopción y la velocidad de las amenazas es exactamente lo que coloca a la seguridad de agentes de IA en el centro de las conversaciones más urgentes de tecnología hoy.

Los riesgos ya dejaron de ser teóricos hace mucho tiempo. En un ejercicio controlado de red-team, la plataforma interna de IA de McKinsey, llamada Lilli, fue comprometida por un agente autónomo que obtuvo acceso amplio al sistema en menos de dos horas. Dos horas. Eso es una demostración brutal de cómo las amenazas agénticas pueden superar los tiempos de respuesta humanos sin ninguna dificultad.

Una encuesta de Dark Reading reveló que el 48% de los profesionales de ciberseguridad ahora identifican la IA agéntica y los sistemas autónomos como el vector de ataque más peligroso que existe. Y el impacto financiero acompaña: según el informe de 2025 de IBM sobre el costo de filtraciones de datos, las violaciones causadas por shadow AI cuestan en promedio 4,63 millones de dólares por incidente, unos 670 mil dólares más que una violación estándar. La exposición no solo es mayor, es estructuralmente diferente. Los ataques agénticos atraviesan sistemas, exfiltran datos y escalan privilegios a velocidad de máquina, antes de que un analista humano pueda siquiera abrir un ticket.

Por qué los agentes de IA crean una superficie de ataque completamente nueva

Para entender la magnitud del desafío, hay que observar con atención lo que hace a estos agentes fundamentalmente diferentes de cualquier software que vino antes que ellos. Un agente de IA moderno no solo responde a comandos. Interpreta contextos, infiere intenciones, planifica secuencias de acciones y ejecuta esas acciones de forma encadenada en entornos reales. Esto significa que necesita acceso a recursos, permisos y datos que ningún software tradicional jamás concentró en un solo punto. Esa concentración de poder, por sí sola, ya es una invitación a problemas serios de ciberseguridad.

Como Barak Turovsky, Operating Advisor en Bessemer Venture Partners y ex-Chief AI Officer de General Motors, destaca: los agentes de IA no son solo otra superficie de aplicación. Son actores autónomos con altos privilegios, capaces de razonar, actuar y encadenar workflows entre sistemas. El riesgo central no es la vulnerabilidad en sí, sino la capacidad ilimitada que estos agentes pueden acumular.

Lo que vuelve la situación aún más delicada es que los agentes frecuentemente operan en pipelines multi-agente, donde un agente orquesta a otros, pasando instrucciones, datos y contextos entre sí. Cuando tienes una cadena de agentes trabajando juntos, cada punto de transferencia entre ellos es una potencial vulnerabilidad. Una instrucción maliciosa inyectada al inicio de la cadena puede propagarse y amplificarse a lo largo de toda la secuencia, causando daños mucho mayores de lo que cualquier ataque aislado conseguiría.

Este desafío se amplifica por una propiedad única de los agentes: su comportamiento es no determinístico. Como Jason Chan, líder en ciberseguridad y Operating Advisor en Bessemer, explica, gran parte del poder que los agentes ofrecen viene de la capacidad de especificar un resultado sin documentar detalladamente cada paso necesario para alcanzarlo. Si aprendimos algo con la seguridad basada en reglas, es que puede y será subvertida. Los controles tradicionales asumen ejecución predecible. Los agentes no ofrecen eso, y es por eso que la industria necesita enfoques construidos específicamente para este contexto, no solo adaptaciones de lo que ya existía.

Además, los agentes de IA interactúan con el mundo exterior de formas que amplían dramáticamente la superficie de ataque. Navegan por la web, consumen APIs de terceros, procesan documentos enviados por usuarios y ejecutan código en tiempo real. Cada una de esas interacciones es una puerta abierta para lo que la comunidad de seguridad empezó a llamar agentic threats. Prompt injection, envenenamiento de contexto y manipulación de herramientas son solo algunos ejemplos de cómo los atacantes ya están explotando estas brechas en la práctica.

Como el análisis más reciente de OWASP señala, los agentes de IA en realidad amplifican vulnerabilidades existentes más de lo que introducen vulnerabilidades completamente nuevas. Las categorías de amenaza son conocidas: robo de credenciales, escalamiento de privilegios, exfiltración de datos. Lo que cambió es el radio de explosión y la velocidad. Dean Sysman, cofundador de Axonius y Venture Advisor en Bessemer, complementa: un agente no tiene la misma comprensión humana de lo que está mal hacer. Cuando recibe un objetivo o función de optimización, el agente hará cosas perjudiciales o peligrosas que para nosotros los humanos son obviamente incorrectas.

Las cuatro capas de la superficie de ataque agéntica

Aunque ninguna empresa enfrenta exactamente la misma exposición, la superficie de ataque de un entorno agéntico se mapea consistentemente en cuatro capas:

• El endpoint, donde agentes de codificación como Cursor y GitHub Copilot operan directamente en el entorno del desarrollador
• El gateway de API y MCP, donde los agentes llaman herramientas e intercambian instrucciones entre sí
• Plataformas SaaS, donde los agentes están integrados en los workflows principales del negocio, como Salesforce y Microsoft 365
• La capa de identidad, donde las credenciales y privilegios de acceso se otorgan, se acumulan y, con demasiada frecuencia, se dejan sin revisión

Entender cuál de estas capas conlleva el mayor riesgo en tu entorno específico es el mejor punto de partida para cualquier estrategia de seguridad de agentes.

Privilege Escalation: el riesgo que más preocupa a los especialistas

De todas las amenazas que surgen con la adopción masiva de agentes de IA, el privilege escalation es el que más quita el sueño a los especialistas en seguridad. El concepto en sí no es nuevo. Atacantes intentando obtener permisos mayores de los que deberían tener es un clásico de la historia de la ciberseguridad. Lo que cambió es el contexto y la escala. Un agente de IA que empieza con permisos limitados puede, a través de una secuencia de acciones aparentemente legítimas, terminar accediendo a sistemas, datos y capacidades muy por encima de lo que fue originalmente autorizado. Y lo peor es que este proceso puede ocurrir de forma completamente invisible para los equipos de seguridad.

Mike Gozzo, Chief Product and Technology Officer en Ada, pone el dedo en la llaga: los agentes de IA no son herramientas, son actores. Toman decisiones, ejecutan acciones e interactúan con sistemas en nombre de sus clientes. Proteger a un actor es un problema fundamentalmente diferente de proteger una herramienta, y la mayor parte de la industria todavía no asimiló esa diferencia.

El problema se agrava cuando consideramos que muchos agentes se despliegan con el llamado principio de conveniencia en vez del principio de menor privilegio. Para que el agente funcione bien y sin fricción, los equipos de desarrollo frecuentemente otorgan permisos amplios desde el inicio, pensando que esto se va a ajustar después. Spoiler: rara vez se hace. 😅 Este patrón crea un entorno donde un agente comprometido o mal instruido tiene acceso inmediato a recursos críticos, transformando una vulnerabilidad pequeña en un incidente de seguridad de proporciones catastróficas.

La solución no es simple, pero existe un camino claro. Las organizaciones que están tomando en serio la seguridad de agentes de IA están implementando políticas granulares de control de acceso específicas para agentes, revisando permisos en intervalos regulares y auditando los logs de acción de los agentes con el mismo rigor que aplican a sistemas críticos. Más que eso, están empezando a tratar a cada agente como una identidad digital independiente, con credenciales propias, alcance de acción bien definido y mecanismos de revocación rápida cuando algo sale de lo esperado.

Un framework de tres etapas para proteger agentes de IA

Proteger agentes de IA es un problema sistémico. Antes de que un CISO pueda aplicar políticas o responder a amenazas, necesita saber con qué está lidiando. Y antes de que los agentes puedan ser protegidos en tiempo de ejecución, necesitan haber sido configurados correctamente. El desafío se divide en tres etapas, cada una siendo prerrequisito para la siguiente.

Etapa 1: Visibilidad — sepan lo que tienen

La visibilidad es la primera etapa y frecuentemente la más descuidada. La mayoría de las empresas no tiene un inventario preciso de los agentes de IA operando en su entorno: qué agentes existen, qué permisos poseen, quién los autorizó y para qué fueron construidos. Sin esa base, todo lo que viene después es pura adivinanza.

Visibilidad significa establecer un mapa en tiempo real de los agentes a lo largo de toda tu infraestructura. Esto incluye agentes de codificación como Cursor y GitHub Copilot en el endpoint, agentes de orquestación integrados en plataformas SaaS y agentes conectados por API operando a través de servidores MCP e integraciones de terceros. La intención también importa aquí. Un agente provisionado para una tarea estrecha, pero con acceso amplio a un CRM, por ejemplo, es una configuración errónea esperando convertirse en un incidente.

Etapa 2: Configuración — reduzcan el radio de explosión antes de que un ataque ocurra

Con el inventario establecido, la siguiente pregunta es: ¿estos agentes están configurados de forma segura? Es aquí donde reside la mayor parte del riesgo explotable hoy. Las configuraciones erróneas más comunes siguen un patrón predecible: privilegio excesivo, credenciales débiles o compartidas, violaciones de política que pasaron desapercibidas porque ninguna herramienta estaba buscándolas, y patrones de acceso anómalos que no activan alertas tradicionales porque técnicamente están dentro de la política.

La configuración no es una auditoría puntual. Es una postura continua. La superficie de ataque de un agente cambia cada vez que se actualiza, recibe una nueva herramienta o se conecta a un nuevo servicio. Los CISOs necesitan soluciones que monitoreen desviaciones de configuración en tiempo real, no en revisiones trimestrales.

Etapa 3: Runtime Protection — detecten y respondan a velocidad de máquina

La etapa final es donde la amenaza agéntica se vuelve cualitativamente diferente de todo lo que vino antes. Un agente comprometido no espera. Razona, cambia de dirección y escala accesos de forma autónoma, frecuentemente completando una cadena entera de ataque en el tiempo que un analista humano tarda en abrir un ticket.

La protección en tiempo de ejecución exige tres capacidades que las herramientas de seguridad tradicionales no fueron construidas para ofrecer: investigación agéntica, que significa entender lo que el agente hizo y por qué; detección en tiempo real que interpreta comportamiento no determinístico en vez de buscar firmas conocidas; y enforcement contextual que pueda interrumpir una acción específica sin tumbar todo el workflow.

Esa última capacidad, la intervención dirigida durante la ejecución, es donde el mercado está más subdesarrollado y donde existe la oportunidad más clara de innovación en infraestructura de seguridad. 🔐

Siete preguntas que todo CISO debería hacerse ahora

Todo equipo, independientemente de su tamaño, necesita desarrollar una estrategia defensiva a medida para proteger agentes de IA. Aquí van siete preguntas que pueden guiar una auditoría interna y ayudar a mapear dónde están las mayores brechas:

• Alcance y dolor: ¿Qué tan extensivamente están desplegados los agentes de IA en tu entorno hoy?
• ¿Cuál es tu mayor preocupación en relación con los riesgos de seguridad de estos agentes?
• ¿Te preocupan más los agentes de codificación, como Cursor y Claude, o los agentes genéricos?
• Arquitectura: ¿Qué capa tiene más sentido para controles de seguridad de agentes: endpoint, red/proxy o gestión de identidad?
• ¿Existe espacio para soluciones específicas construidas exclusivamente para agentes?
• Ruido de mercado: Con tantas startups de seguridad de agentes de IA surgiendo, ¿cómo diferencias una de otra?
• Detección y prevención: ¿Estás más enfocado en tener visibilidad del uso de agentes o en prevenir que los agentes de IA sean comprometidos?

Cinco acciones prioritarias para CISOs en 2026

La amenaza es real, las herramientas todavía son incipientes y la ventana para tomar la delantera se está cerrando. Cinco prioridades se destacan para CISOs que están navegando el desafío de la seguridad agéntica este año.

1. Alineen la postura de riesgo de la organización antes de comprar cualquier cosa

El instinto bajo presión es salir comprando. Resistan. Antes de evaluar proveedores o desplegar controles, los equipos de seguridad necesitan tener claridad sobre dónde se posiciona realmente la organización respecto a los agentes de IA. Como Jason Chan plantea: definan, a nivel de negocio, la posición de su organización sobre agentes. ¿Están apostando todo? ¿Probando con cautela? ¿Diciendo que no hasta que el panorama se aclare? Esa posición va a ayudar a los equipos de seguridad a alinear su enfoque con las expectativas y la tolerancia al riesgo de la organización. Un CISO en modo de despliegue agresivo necesita una postura de seguridad fundamentalmente diferente a la de uno que está en modo de observación.

2. Traten a los agentes como infraestructura de producción, no como aplicaciones

El error más común es aplicar el playbook de seguridad de aplicaciones existente a los agentes. No funciona. Como Barak Turovsky observa, la mayoría de las empresas está agregando monitoreo encima de agentes mal restringidos, lo cual es el orden equivocado. El orden correcto es: propiedad primero, después restricciones, después monitoreo. Definan quién es responsable de cada agente, limiten sus permisos a lo que la tarea requiere e implementen guardrails a nivel de acción antes de que cualquier herramienta de monitoreo sea activada. Las organizaciones que acierten en esto no solo serán más seguras, sino que desplegarán agentes más rápido, porque realmente confían en ellos.

3. Empiecen estrecho y expandan deliberadamente

Los agentes acumulan acceso con el tiempo, y la superficie de riesgo crece con ellos. Dean Sysman ofrece una prescripción clara: tengan un plan gradual y bien definido de los inputs y outputs disponibles para cada agente, asegúrense de que estén muy estrechamente delimitados y expandan incrementalmente. Lancen agentes con los permisos mínimos necesarios para una tarea específica, validen su comportamiento en ese entorno restringido y expandan el acceso solo cuando haya evidencia clara de que es necesario y seguro. Otorgar acceso amplio de entrada, en nombre de la flexibilidad o la velocidad, es precisamente como las organizaciones crean el problema de acumulación de privilegios que los atacantes van a explotar.

4. Cierren la brecha entre libertad y control con guardrails, no solo monitoreo

La tensión fundamental en la IA agéntica es que la misma autonomía que hace poderosos a los agentes es lo que los hace peligrosos. Como Dean señala, el gran valor de los agentes es la capacidad de decidir hacer cosas por su cuenta, pero los guardrails de lo que no deben hacer necesitan ser increíblemente abarcadores. El monitoreo puede decirte lo que un agente hizo. Los guardrails determinan lo que tiene permiso de hacer en primer lugar. Los líderes de seguridad que acierten en esto serán aquellos que definan esos límites explícitamente, a nivel de acción y no solo a nivel de acceso, antes de que un incidente fuerce la conversación.

5. Denle a cada agente una identidad y trátenlo como a un empleado

La mayoría de los agentes hoy hereda permisos amplios de los sistemas a los que se conectan, sin ninguna frontera de zero-trust gobernando lo que realmente pueden alcanzar. Mike Gozzo ofrece un diagnóstico preciso: denle a los agentes una identidad, definan el alcance de acceso y auditen lo que hacen de la misma forma que harían con cualquier otro actor en su entorno. La primera acción de un CISO debería ser garantizar que cada agente tenga una identidad gestionada con autenticación delimitada, y no una clave de API compartida con acceso irrestricto. Si no pueden responder a las preguntas — qué puede hacer este agente, en nombre de quién y quién lo aprobó — de la misma forma que responderían sobre un empleado humano, no están listos para la autonomía que estos sistemas están a punto de tener. 👁️

Lo que las empresas necesitan internalizar ahora

La conversación sobre seguridad de agentes de IA todavía es excesivamente teórica en buena parte de las organizaciones, lo cual es un problema serio considerando que 2026 ya está sucediendo. La presión para adoptar agentes de IA es real y va a seguir creciendo, porque los beneficios de productividad y automatización son genuinamente significativos. Ignorar los riesgos de ciberseguridad asociados a esta adopción no es una opción responsable, pero paralizarse por miedo tampoco le sirve a nadie.

El camino está en construir prácticas de seguridad que acompañen el ritmo de adopción. Esto empieza con incluir a los equipos de seguridad en las conversaciones sobre agentes desde el inicio, no después de que el sistema ya está en producción. La integración de seguridad en el ciclo de desarrollo de agentes es fundamental para evitar que las vulnerabilidades estructurales se incrusten desde el diseño. Definir claramente el alcance de acción de cada agente, mapear todos los recursos a los que va a acceder y establecer políticas explícitas de control de acceso antes de que la primera línea de código sea escrita son pasos que marcan una diferencia enorme.

Invertir en visibilidad sigue siendo una de las acciones más impactantes. Uno de los mayores problemas con las agentic threats es que muchas veces pasan desapercibidas porque las organizaciones simplemente no tienen herramientas adecuadas para ver lo que los agentes están haciendo en detalle. Implementar logging detallado de las acciones de los agentes, crear dashboards de monitoreo específicos y establecer líneas base de comportamiento normal parecen pasos simples, pero son la diferencia entre detectar un incidente en minutos o descubrirlo semanas después.

La IA agéntica no viene en camino. Ya está aquí. Pero la infraestructura de seguridad para acompañarla todavía no. Los CISOs que cierren esa brecha de forma deliberada, empezando ahora, van a definir cómo la IA empresarial va a funcionar por el resto de la década. Los que esperen hasta 2027 van a pasar ese tiempo respondiendo a incidentes. El escenario de seguridad para agentes de IA en 2026 va a ser definido por las decisiones que las organizaciones tomen hoy. Quienes traten la seguridad de agentes de IA como prioridad estratégica ahora estarán mucho mejor posicionados para capturar los beneficios de la tecnología sin pagar el precio de una violación catastrófica.