Seguridad basada en la IA agentiva: retos clave y cómo abordarlos

Los sistemas de IA con capacidad de agencia no se limitan a generar texto. Llevan a cabo acciones en toda su infraestructura, aplicando configuraciones, consultando bases de datos y modificando puntos finales sin esperar a que un usuario las apruebe. Esa autonomía es precisamente la clave, pero también es el problema.

La seguridad tradicional basada en la inteligencia artificial se centra en filtrar los datos de entrada y evaluar los resultados. La seguridad basada en IA agentiva se extiende hasta el nivel de acción, donde los agentes interactúan con los flujos de trabajo de parches, los almacenes de secretos y los sistemas de gestión de la configuración a la velocidad de la máquina.

En esta entrada se describen los principales vectores de amenaza específicos de la IA agentiva, se explica por qué los controles actuales resultan insuficientes y se esboza la arquitectura técnica que rige el comportamiento de los agentes en la capa de los terminales.

¿Qué es la seguridad de la IA agentiva?

La seguridad basada en la IA agencial protege los sistemas autónomos de inteligencia artificial capaces de planificar, tomar decisiones y llevar a cabo acciones de varios pasos de forma independiente en las redes empresariales, sin necesidad de una supervisión humana continua. La palabra clave aquí es «acciones». La seguridad tradicional de los modelos de lenguaje a gran escala (LLM) se centra en lo que se introduce en un modelo (las indicaciones) y en lo que sale de él (las respuestas). La seguridad de la IA agentiva se extiende a lo que el agente hace realmente.

¿Por qué es importante esa distinción? Un chatbot que tiene alucinaciones genera textos de mala calidad. Un agente que presenta fallos puede borrar registros, aplicar parches mal configurados o trasladar datos a lugares donde no deben estar. Los agentes operan con permisos elevados en las plataformas de gestión de terminales, los almacenes de credenciales y las herramientas de seguridad. Ese ámbito de permisos cambia por completo el problema de seguridad.

[Descubra cómo funciona la IA agentiva, por qué supone un cambio que va más allá de la automatización tradicional y cómo está transformando las operaciones de TI y la ciberseguridad]

Si lo que importa es la capa de acción, la pregunta obvia es: ¿por qué su infraestructura de seguridad actual no la cubre ya?

Por qué los controles tradicionales no se diseñaron para la IA agentiva

Sus herramientas SIEM, EDR e IAM proporcionan controles básicos. Gestionan con eficacia tanto las acciones iniciadas por personas como la automatización basada en reglas. La IA agencial introduce algo para lo que estas herramientas no fueron diseñadas: la toma de decisiones autónoma y no determinista a la velocidad de las máquinas, a través de múltiples sistemas en una única cadena de ejecución.

Aquí es donde se aprecian las lagunas:

• El razonamiento autónomo anula las comprobaciones deterministas de las políticas. El comportamiento de un agente no es determinista: un agente decide en tiempo de ejecución qué herramienta invocar y con qué parámetros, basándose en un razonamiento probabilístico más que en una lógica fija. Las reglas estáticas no pueden anticipar las decisiones que toman los agentes de IA en tiempo de ejecución ni predecir qué herramientas utilizarán a continuación.
• La integración de herramientas amplía la superficie de ataque. Cada sistema al que el agente puede acceder se convierte en un punto de entrada o de salida. Plataformas de gestión de terminales, procesos de aplicación de parches, almacenes de credenciales, integraciones con sistemas SIEM: un solo agente comprometido puede afectar a todos ellos.
• La memoria persistente genera nuevos vectores de exposición. Los agentes que conservan el contexto entre sesiones pueden ver cómo se corrompe esa memoria. Una memoria viciada conduce a decisiones erróneas que van en detrimento de la infraestructura real.
• Los sistemas multiagente conllevan riesgos de traspaso que se acumulan en cada punto de coordinación. Las instrucciones que se transmiten entre agentes pueden ser interceptadas o alteradas con cargas maliciosas que se propagan a través de los flujos de trabajo de los agentes y los procesos de gestión de terminales.

La seguridad tradicional parte de la base de que los ciclos de decisión se desarrollan a la velocidad humana y de que las acciones son iniciadas por personas. Las arquitecturas basadas en agentes funcionan de manera diferente: incorporan el razonamiento autónomo, la memoria persistente y la coordinación entre múltiples sistemas, aspectos que los planos de control existentes no fueron diseñados para gestionar. El plano de control debe adaptarse en consecuencia.

Ese cambio comienza por comprender dónde se materializan realmente las amenazas de la IA agentiva. La respuesta son sus dispositivos finales.

El punto final es la superficie de ataque

Cuando un sistema de IA con capacidad de agencia ejecuta una llamada a una herramienta, la acción se lleva a cabo en los puntos finales. Los cambios de configuración, las modificaciones de archivos, la ejecución de procesos, las conexiones de red y el acceso mediante credenciales: todo ello tiene lugar en los dispositivos finales de su entorno.

La superficie de ataque se corresponde con sistemas específicos:

• Plataformas de gestión de terminales: Agentes que distribuyen configuraciones o implementaciones de software
• Canales de parches: Agentes que programan o ejecutan actualizaciones en grupos de dispositivos
• Integraciones de SIEM: Agentes que crean o modifican reglas de detección
• Almacenes de credenciales: Agentes que solicitan y utilizan secretos para la autenticación

Para detectar un comportamiento anómalo de un agente es necesario correlacionar las acciones del agente con los cambios en el estado del terminal. No basta con supervisar únicamente la plataforma de agentes. Necesita tener una visión clara de lo que ocurre en los terminales en los que se ejecutan las acciones.

Vectores de amenaza habituales asociados a los terminales de las empresas

Los agentes autónomos de IA introducen vías de ataque que van más allá de los modelos tradicionales de seguridad de la IA. Los siguientes ejemplos se refieren a los sistemas empresariales y a los controles necesarios para garantizar su seguridad.

Inyección inmediata en la capa de acción

La inyección de comandos contra un agente con acceso a herramientas de punto final difiere de la inyección contra un chatbot. Dado que los sistemas agenticos utilizan el lenguaje natural como plano de control (interpretando instrucciones procedentes de documentos, correos electrónicos, contenidos web y resultados de herramientas), las instrucciones maliciosas inyectadas en cualquier fuente de datos que utilice el agente pueden ser interpretadas y ejecutadas por este. Se trata de una inyección indirecta de comandos: el atacante nunca interactúa directamente con el agente.

[Descubra en qué consisten los ataques de inyección de comandos, por qué son difíciles de detectar y en qué consiste una estrategia de defensa en profundidad para las implementaciones de IA]

Uso de herramientas y API

El uso indebido de herramientas (cuando se engaña a un agente para que utilice de forma incorrecta herramientas legítimas de gestión de terminales) puede dar lugar a la eliminación de registros, al acceso a configuraciones restringidas o a la ejecución no autorizada de scripts en distintos grupos de dispositivos. El riesgo aumenta en función del acceso de escritura que tenga el agente a la infraestructura de producción.

Escalada de privilegios a través de relaciones de confianza

Los agentes que comienzan con permisos limitados pueden ser manipulados para obtener acceso con privilegios elevados. Los atacantes pueden aprovechar las relaciones de confianza entre los agentes y las plataformas de los terminales para pasar de un acceso de lectura a un acceso de escritura en la configuración en todo el parque de dispositivos.

Vulnerabilidad en la cadena de suministro

Los marcos de trabajo de agentes y sus ecosistemas de complementos introducen riesgos en la cadena de suministro que los procesos tradicionales de verificación de software no estaban diseñados para detectar. Un complemento de herramienta comprometido o malicioso puede proporcionar a un atacante acceso persistente a través de los propios permisos del agente sin activar las alertas estándar del terminal.

[Descubra cómo el ataque a la cadena de suministro «Mini Shai-Hulud» eludió los canales de publicación de confianza y por qué las señales de procedencia válidas, por sí solas, ya no constituyen un control de seguridad fiable]

Los esquemas de herramientas dañados, los registros de complementos contaminados y las descripciones engañosas de las herramientas pueden desviar el comportamiento de los agentes desde el origen, antes de que ninguna acción llegue a su capa de detección. Compruebe cada integración de herramientas del mismo modo que comprobaría una dependencia de software de terceros: revise el código fuente, fije las versiones y supervise si se producen comportamientos inesperados.

Contaminación de la memoria

Los atacantes pueden introducir datos engañosos en el contexto persistente de un agente. A raíz de ello, el agente basa sus decisiones a largo plazo en premisas erróneas, lo que podría afectar negativamente a las decisiones relativas a la infraestructura a lo largo de las sesiones.

Acciones autónomas no deseadas a gran escala

Los agentes pueden propagar configuraciones erróneas, parches incorrectos o medidas correctivas perjudiciales a miles de terminales debido a instrucciones ambiguas o a llamadas a herramientas erróneas. Los errores se propagan más rápido de lo que cualquier equipo puede reaccionar.

Agentes en la sombra y proliferación de despliegues

Los empleados que instalan agentes no autorizados que interactúan con la infraestructura de los terminales crean puntos ciegos. Los agentes autorizados que, debido a una configuración incorrecta, realizan acciones fuera de su ámbito previsto, entrañan los mismos riesgos, aunque no haya intención maliciosa.

Haga clic en cualquiera de los vectores de amenaza que aparecen a continuación para ampliar la información sobre el contexto del terminal y los controles recomendados.

Estos vectores se corresponden con la lista «OWASP Top 10 para aplicaciones agenticas» de 2026. Para conocer el marco completo, consulte la lista completa.

Los vectores de amenaza no existen de forma aislada. Tanto los defensores como los atacantes recurren cada vez más a la IA agentiva, lo que genera una tensión a la que se enfrentan actualmente los equipos de seguridad.

La IA agentiva en ambos lados de la amenaza

Los equipos de ciberseguridad se enfrentan a un doble reto: proteger sus propias implementaciones de IA agentiva y, al mismo tiempo, defenderse de la IA agentiva de los adversarios.

En el ámbito ofensivo, los atacantes utilizan una IA agentiva para acelerar el reconocimiento en los entornos de terminales y automatizar campañas de phishing que se adaptan a las configuraciones de dichos terminales. Encadenan exploits a través de vulnerabilidades a la velocidad de un ordenador y despliegan cargas útiles de malware cuyo comportamiento varía en función del entorno de destino.

[Descubra cómo la inteligencia artificial está transformando las operaciones de ciberseguridad, en qué aspectos aporta un valor defensivo real y por qué la supervisión humana sigue siendo esencial]

En el ámbito de la defensa, los equipos de seguridad utilizan la IA con agentes para la detección automatizada de amenazas, la coordinación de respuestas en tiempo real en todos los terminales y la corrección autónoma de patrones de vulnerabilidades conocidas.

Los controles de ambos se solapan, pero no son idénticos. Para garantizar la seguridad de un agente defensivo, es necesario establecer un marco de control sobre sus funciones. Para defenderse de un agente malicioso, es necesario detectar qué es lo que está intentando hacer. Ambos requieren visibilidad y control a nivel de los terminales.

Arquitectura de seguridad en el nivel de los dispositivos finales

Dado que los modelos de aprendizaje automático, incluidos los grandes modelos de lenguaje que sustentan la mayoría de los sistemas con agentes, son motores de razonamiento probabilístico, la seguridad no puede basarse únicamente en las indicaciones internas del agente. Las protecciones determinísticas a nivel de infraestructura a lo largo de todo el ciclo de vida del agente constituyen el plano de control.

Esto resulta especialmente crítico en el caso de las aplicaciones de tipo «agente» que interactúan directamente con la infraestructura de producción, donde una sola acción mal configurada puede provocar un efecto en cadena en miles de terminales.

Identidad y autenticación del agente

Trate a los agentes como identidades de primera clase con sus propias credenciales, limitadas a grupos de terminales y acciones específicos. Asigne los permisos de los agentes a modelos de responsabilidad humana. Los marcos de trabajo de IAM heredados suelen carecer de la granularidad necesaria para un control de acceso específico por agente.

Permisos de ejecución restringidos

Aplique el principio del mínimo privilegio a todas las herramientas a las que pueda acceder un agente. Utilice permisos «justo a tiempo» limitados a tareas y grupos de dispositivos específicos. La aplicación de las políticas a nivel de la llamada a la herramienta, y no solo en la capa de identidad, contribuye a garantizar que los límites de ámbito se apliquen de forma coherente, independientemente de cómo llegue el agente a realizar una acción determinada. Establezca límites al ámbito de ejecución, de modo que ninguna acción de un agente afecte a más de un número definido de terminales sin la aprobación de un usuario.

Integridad de la memoria y del contexto

Limite la cantidad de datos que conservan los agentes en los terminales. Aplique comprobaciones de integridad al contexto almacenado. Utilice el aislamiento de sesiones para evitar la fuga o la manipulación de datos entre sesiones.

Controles de comunicación entre múltiples agentes

Autenticar las comunicaciones entre agentes. Compruebe que las instrucciones sean correctas en cada cambio de turno. Supervise los patrones de coordinación en busca de secuencias anómalas que puedan indicar una inyección o manipulación.

[Descubra cómo las capacidades de la IA autónoma están superando a la gobernanza empresarial, qué nuevas superficies de ataque están surgiendo y en qué deberían centrarse en primer lugar los equipos de TI]

En las arquitecturas multiagente, el registro estándar recoge las acciones de cada agente de forma individual, pero no refleja el comportamiento emergente del sistema en su conjunto. Para establecer la correlación entre las acciones de los distintos agentes es necesario recurrir al rastreo distribuido, el mismo modelo que se utiliza en la observabilidad de los microservicios, aplicado a la comunicación entre agentes y a las invocaciones compartidas de herramientas.

Supervisión en tiempo real y detección de anomalías

Supervise las acciones de los agentes en el nivel de los terminales en tiempo real. Relacione las llamadas de las herramientas de los agentes con los cambios en el estado de los terminales e incluya un análisis del tráfico de red para detectar movimientos laterales o la filtración no autorizada de datos provocada por las acciones de los agentes. Configure los desencadenantes automáticos de contención para patrones de comportamiento anómalos.

Registro de auditoría y explicabilidad

Registre de forma exhaustiva las decisiones del agente, las llamadas a herramientas y los cambios en los terminales. La auditabilidad, es decir, la capacidad de reconstruir con exactitud qué hizo un agente, cuándo y por qué, es fundamental tanto para la investigación forense como para las pruebas de cumplimiento normativo.

Puertas con intervención humana

En el caso de acciones de gran repercusión, como cambios de configuración en toda la flota o modificaciones de las políticas de seguridad, exija una aprobación por parte de una persona. Implemente un sistema de puntuación de confianza para derivar las decisiones dudosas de los agentes a revisión humana.

[Descubra por qué la gestión de la IA agentiva requiere algo más que controles de acceso y cómo integrar la rendición de cuentas en los sistemas autónomos antes de que su expansión descontrolada se convierta en un riesgo]

Requisitos previos a la puesta en marcha

Antes de implementar una herramienta de IA agentiva, o de evaluar una que ya esté en funcionamiento, comience por estas preguntas, controles y requisitos de supervisión.

Preguntas que debe plantearse

• ¿A qué terminales puede acceder este agente?
• ¿Qué acciones puede realizar y con qué permisos?
• ¿Cuál es el alcance de las consecuencias de una sola acción mal configurada?
• ¿Qué registro de auditoría genera?
• ¿Cómo se gestionan y se renuevan las credenciales?

Realizar un modelo de amenazas específico para el acceso a las herramientas de su agente, el alcance de los permisos y las rutas de flujo de datos antes de la implementación ayuda a detectar riesgos de alcance amplio que las evaluaciones de seguridad genéricas pasan por alto. Identifique todas las herramientas que el agente puede ejecutar, los datos a los que cada herramienta puede acceder y el alcance máximo de los cambios que cada herramienta puede realizar.

Realizar un ejercicio de «red teaming» en su implementación de Agentic antes de la puesta en marcha es una de las formas más eficaces de detectar las deficiencias de control que el análisis estático pasa por alto. Simule la inyección de comandos adversos, los intentos de escalada de privilegios y los escenarios de uso indebido de herramientas para someter a pruebas de estrés los controles antes del lanzamiento.

Medidas de control que deben exigirse

• Ámbito de ejecución delimitado con límites de punto final definidos
• Permisos basados en el principio del «privilegio mínimo» con concesiones «justo a tiempo»
• Aprobación con intervención humana para los cambios que afectan a toda la flota
• Memoria aislada por sesión con verificación de integridad
• Comunicación autenticada entre agentes
• Supervisión de terminales en tiempo real con detección de anomalías

Qué hay que supervisar una vez realizada la implementación

• Registros de acciones de los agentes correlacionados con los cambios en el estado de los terminales
• Cambios en el ámbito de los permisos e intentos de escalado
• Integridad de la memoria y desviación del contexto
• Patrones de coordinación entre múltiples agentes
• Implementaciones no autorizadas de agentes

[Descubra cómo la IA autónoma está transformando las operaciones de seguridad, en qué ámbitos aporta un valor real y qué medidas de gobernanza ayudan a los equipos a adoptarla sin perder el control]

Cómo contribuye Tanium a garantizar la seguridad de las operaciones de IA con agentes

A medida que los agentes pasan de generar texto a llevar a cabo acciones en los dispositivos finales, el reto en materia de seguridad también cambia. Las organizaciones deben conocer qué acciones realizan los agentes en su infraestructura, evaluar si dichas acciones deberían haberse producido y actuar cuando no sea así.

Ese es precisamente el tipo de problema para el que se ha diseñado la plataforma de TI autónoma Tanium de . Al reunir la gestión de terminales, la gestión de la exposición y las operaciones de seguridad en una única plataforma, la visibilidad, la evaluación y la respuesta pueden mantenerse coordinadas, en lugar de estar dispersas entre herramientas inconexas.

Así es como funciona:

• Autonomía regulada en el nivel de acción: Los agentes autónomos necesitan controles determinísticos, no solo límites en sus indicaciones. Tanium Ask Agent funciona con un sistema de acceso basado en roles, permisos que implican la intervención humana y una puntuación de confianza. Las implementaciones progresivas por anillos organizan los cambios en lotes controlados, de modo que una acción mal configurada no se propague a todo el parque de dispositivos antes de que un usuario la revise.
• Detección a nivel de terminal, no inferencia a partir de los registros de la plataforma: Para detectar un comportamiento anómalo de un agente es necesario correlacionar las acciones del agente con los cambios en el estado del terminal. Tanium extrae los datos bajo demanda directamente del dispositivo final, en lugar de hacerlo desde una base de datos. Cuando un agente modifica una configuración, implementa software o accede a un almacén de credenciales, los equipos pueden ver qué ha cambiado y dónde, en tiempo real. La supervisión continua y las alertas en tiempo real permiten detectar desviaciones respecto al comportamiento esperado en el punto final donde se produjo la acción.
• Evaluación proactiva para reducir el radio de impacto: Los agentes que interactúan con la infraestructura de los terminales heredan su estado de vulnerabilidad. Si el entorno no está actualizado o está mal configurado, el impacto de cualquier error provocado por un agente o de cualquier escalada de privilegios aumenta. La plataforma ofrece una seguridad continua de los puntos finales en todo el entorno, lo que ayuda a identificar riesgos y a garantizar el cumplimiento normativo mediante flujos de trabajo de corrección integrados que mantienen la superficie de ataque lo más reducida posible.

Para los equipos que están evaluando cómo gestionar la IA autónoma en su entorno, Tanium se integra en la infraestructura de terminales que ya gestionan. No se requiere una pila de seguridad independiente.

Preguntas frecuentes sobre la seguridad de la IA agentiva

Antes de poner en práctica estas ideas, conviene repasar los conceptos básicos. En esta sección de preguntas frecuentes se analizan las cuestiones más importantes que se plantean actualmente los equipos en relación con la seguridad de la IA agentiva.

¿Por qué las herramientas de seguridad tradicionales no funcionan con la IA agentiva?

Las herramientas tradicionales de SIEM, EDR e IAM se diseñaron para la toma de decisiones a velocidad humana y para una automatización predecible, no para agentes autónomos que toman decisiones en tiempo de ejecución en múltiples sistemas a velocidad de máquina, con memoria persistente y coordinación entre múltiples agentes.

¿Dónde se llevan a cabo realmente las amenazas de la IA con capacidad de acción?

Las amenazas de IA con agentes se materializan en los puntos finales —incluidos dispositivos, servidores e instancias en la nube—, donde los agentes ejecutan llamadas a herramientas que aplican configuraciones, modifican archivos, acceden a credenciales y alteran el estado del sistema en plataformas de gestión de puntos finales, procesos de aplicación de parches e integraciones SIEM.

¿Cuáles son los principales vectores de amenaza para la IA con capacidad de acción?

Entre los principales vectores de amenaza se incluyen la inyección inmediata en la capa de acción, la explotación de herramientas y API, la escalada de privilegios a través de relaciones de confianza, el envenenamiento de memoria, el compromiso de la cadena de suministro a través de ecosistemas de complementos de agentes, las implementaciones de agentes no autorizadas o mal configuradas, y las acciones autónomas involuntarias que se propagan a gran escala.

¿Cómo se garantiza la seguridad en la implementación de una IA con capacidad de agencia?

Las implementaciones seguras de IA agentiva requieren la identificación y autenticación de los agentes, permisos de ejecución delimitados con el mínimo privilegio, comprobaciones de la integridad de la memoria y del contexto, supervisión en tiempo real correlacionada con los cambios en el estado de los terminales, registros de auditoría exhaustivos y controles con intervención humana para las acciones de alto impacto.

[Descubra qué requiere realmente la autonomía en las operaciones de TI y cómo la visibilidad en tiempo real, las medidas de control basadas en políticas y la verificación en bucle cerrado lo hacen posible]

¿Cuál es el radio de impacto de un agente comprometido?

Un agente comprometido con acceso de escritura a las plataformas de gestión de terminales puede propagar actualizaciones mal configuradas, eliminar registros o modificar políticas de seguridad en miles de terminales antes de que los operadores humanos detecten y contengan dicha actividad.

La seguridad de la IA basada en agentes comienza por saber qué pueden hacer los agentes y dónde lo hacen.
Tanium ofrece visibilidad y control en tiempo real de los terminales, lo que le permite gestionar el comportamiento de los agentes allí donde realmente se ejecutan.
Reserve una demostración personalizada en para descubrir cómo la plataforma de TI autónoma de Tanium garantiza operaciones seguras de IA basada en agentes en todo su entorno de terminales.