Los agentes de IA ya actúan solos en la empresa: la ciberseguridad les exige identidad propia y un botón de apagado

Por Zendoric · 18 de septiembre de 2026.

Un agente de IA que encadena llamadas a varias aplicaciones, decide sobre la marcha y no pide permiso en cada paso es, para cualquier sistema de seguridad corporativa clásico, un problema sin categoría. Así lo plantea un análisis de SC Media basado en un informe de Martin Kuppinger, analista de la firma KuppingerCole, patrocinado por el proveedor de identidad Ping Identity: los sistemas de gestión de identidad y accesos (IAM, por sus siglas en inglés) que las empresas usan para controlar quién entra en qué sistema dan por hecho un comportamiento predecible. Los agentes de IA, que toman decisiones probabilísticas y persiguen tareas dinámicas de varios pasos, rompen esa premisa. Lo que los hace útiles —la autonomía— es justo lo que los hace difíciles de auditar.

La propuesta que recoge el informe aplica a los agentes los principios del 'zero trust' (confianza cero), el modelo de seguridad que asume que ningún actor, humano o de software, debe considerarse fiable por defecto. En la práctica: cada agente necesita una identidad única y estable, un propietario humano responsable, un propósito autorizado, un alcance operativo definido, una lista cerrada de sistemas a los que puede acceder y una vida útil prevista. Sin eso, advierte el informe, un agente se convierte en un 'recurso en la sombra' fuera de cualquier gobernanza. Las credenciales, además, deberían ser de corta duración y emitirse de forma dinámica para cada sesión o tarea, en vez de ser secretos persistentes que alguien pueda robar y reutilizar indefinidamente.

El segundo pilar es la autorización dinámica. Kuppinger defiende el control de acceso basado en políticas (PBAC, policy-based access control) frente al modelo clásico basado en roles (RBAC, role-based access control): en lugar de asignar un permiso fijo según el 'puesto' del agente, cada acción se evalúa en el momento según la sensibilidad del dato, el nivel de amenaza, el alcance de la tarea y el grado de autonomía implicado. Una lectura de bajo riesgo en un sistema poco sensible se aprobaría sola; modificar registros financieros exigiría una comprobación adicional o la intervención de una persona. "Definir estos niveles explícitamente, en lugar de asignar un único conjunto de permisos a todos los agentes, limita el daño potencial de un agente que se comporta mal o está comprometido", escribe Kuppinger.

El tercer elemento es la trazabilidad: cada llamada a una API, cada acceso a datos y cada decisión relevante debería quedar registrada en un log inmutable que capture no solo qué hizo el agente, sino qué se le pidió y por qué. El informe también insiste en dos salvaguardas que sí o sí, dice, van fuera del propio agente: los sistemas y APIs deben verificar los permisos por su cuenta en lugar de fiarse de lo que el agente diga tener, y toda implementación con acceso a producción necesita un interruptor de apagado capaz de suspender o terminar la actividad al instante. "La capacidad de detener un agente rápidamente es un requisito operativo básico, no una función avanzada", resume Kuppinger.

Conviene situar la pieza en su contexto exacto: la firma un estratega de contenido personalizado de CyberRisk Alliance, la matriz de SC Media, y se apoya en un informe pagado por un proveedor de identidad que vende precisamente este tipo de soluciones. No invalida el diagnóstico técnico —es sensato y coincide con lo que dicen otros actores del sector—, pero conviene leerlo sabiendo quién firma la receta y quién la vende. Es el mismo ejercicio de escepticismo que aplicamos cuando Nvidia u OpenAI proclaman umbrales de AGI: la afirmación de parte no deja de ser útil, pero hay que separarla del marketing.

Como contexto del sector, esto no es un caso aislado. El día anterior, según enlaza la propia SC Media, Okta anunciaba nuevas funciones de gobernanza de identidad específicas para agentes de IA, y otro artículo de la publicación alertaba de una oleada de identidades sintéticas ('Frankenstein digitales') vendidas en foros de la dark web por apenas 200 dólares. La lectura de conjunto es clara: el sector de la gestión de identidad entero se está reposicionando en tiempo récord para construir la 'fontanería' de la IA agéntica, del mismo modo que Google y Microsoft compiten por controlar la capa de distribución de agentes frente a OpenAI y Anthropic. Quien gobierne la identidad y los permisos de los agentes tendrá tanto poder de mercado como quien entrene el modelo más capaz.

Nuestra lectura es que este tipo de infraestructura —tediosa, poco vistosa, nada viral— es exactamente la que decide si el riesgo a corto plazo de la IA agéntica se contiene o se dispara. Hemos escrito ya sobre incidentes previos con agentes y sobre cómo la IA agéntica está industrializando el fraude: en ambos casos el problema de fondo era la falta de visibilidad sobre qué estaba haciendo un agente y quién respondía por ello. Lo que propone este informe es, en esencia, el andamiaje que faltaba: identidad, permisos que cambian con el riesgo, registro de cada decisión y un botón de apagado que funcione de verdad. La mayoría de las organizaciones que ya despliegan agentes en producción probablemente no tienen nada de esto implementado todavía, y ese desfase —entre la velocidad de adopción y la madurez de la gobernanza— es el terreno donde se producirán los próximos incidentes.

A medio plazo, sin embargo, esta es precisamente la clase de infraestructura que hace posible delegar tareas de mayor peso —sanidad, finanzas, infraestructuras críticas— sin renunciar a la trazabilidad ni a la capacidad de intervenir. No se llega a la abundancia que defendemos en Zendoric confiando a ciegas en agentes autónomos ni tampoco pidiéndoles aprobación humana en cada clic; se llega dándoles un marco donde la autonomía se pueda auditar, limitar y revocar. La identidad y la responsabilidad de los agentes no son un capítulo menor de la conversación sobre IA: son la condición técnica que separa un asistente que libera tiempo humano de uno que un día se convierte, sin que nadie lo note a tiempo, en el origen de un incidente que nadie sabe explicar.