Solo el 14% de las empresas puede cortar el acceso de un agente de IA en minutos: el control es la nueva frontera

Por El Ecosistema Startup (a partir de VentureBeat) · 19 de octubre de 2026.

Solo el 14% de las empresas que respondieron sobre revocación en el sondeo de septiembre de VB Pulse afirma que un responsable designado puede cortar el acceso de un agente de IA en minutos. El dato procede de un análisis de VB Intelligence, la unidad de investigación de VentureBeat, publicado el 19 de octubre.

El sondeo previo, de agosto, ya apuntaba en la misma dirección. Según esos datos, la mitad de los encuestados tenía agentes en producción y, dentro de ese grupo, el 61% compartía credenciales entre agentes.

La conexión entre ambas cifras es directa. Una credencial compartida crea dependencia entre cargas de trabajo: si la revocas para frenar a un agente comprometido, también paras a todos los demás que usan ese mismo acceso. Lo que debería ser una respuesta de seguridad se convierte en una caída de servicio no planificada.

**Una advertencia de contexto sobre la fuente.** El análisis se apoya en una conversación con Nir Chervoni, responsable de productos de seguridad de Nebius, un cloud especializado en IA. VentureBeat declara a Nebius como patrocinador pagado de su cobertura de eventos. Los números de encuesta y el marco de evaluación son útiles, pero conviene leerlos sabiendo que el proveedor tiene interés en el resultado.

**Qué propone Chervoni.** Son fundamentos conocidos, aplicados a cada agente:

- Una identidad separada por agente, no una cuenta de servicio compartida. - Credenciales de vida corta y acotadas a la tarea concreta. - Gestión centralizada de secretos, en lugar de claves en variables de entorno o en el código. - Claves controladas por el cliente, incluida la opción de conectar su propio sistema de gestión de claves (KMS, por sus siglas en inglés). - Registros de auditoría que alimenten el sistema de monitorización de seguridad que la empresa ya usa.

**Guardrails frente a políticas de acceso.** La cita de Chervoni resume bien la distinción: «Nunca confíes en una guardrail para imponer algo que una política de acceso puede imponer de forma determinista». Una guardrail es una barrera a nivel de modelo que desvía al agente de una acción inapropiada. Pero eso no le retira el permiso subyacente: si el prompt es manipulado o el modelo se equivoca, el permiso sigue vigente y la acción es posible.

**Confidential computing, con sus límites.** El análisis explica que esta tecnología extiende la protección al momento en que los datos se procesan, cuando el cifrado tradicional ya no los cubre y los pesos del modelo y los datos sensibles deben descifrarse en memoria de CPU y GPU. La pieza clave es la attestation: la verificación criptográfica de que el entorno donde va a correr la carga es el que dice ser. Las claves solo se liberan si esa verificación pasa.

Según el propio análisis, no corrige vulnerabilidades de la aplicación, no detiene un ataque de prompt injection (instrucciones maliciosas camufladas en el contenido que lee el agente) ni gobierna lo que el modelo produce. Una identidad comprometida sigue pudiendo ejercer sus permisos legítimos aunque el entorno sea confidencial.

**Residencia no es soberanía.** Chervoni propone cinco preguntas para evaluar el aislamiento de un proveedor: cómo se prepara el hardware entre clientes, cómo se sanean el firmware y la memoria de la GPU, si una carga puede alcanzar interfaces de administración, qué partes del plano de control se comparten y cómo se particiona y prueba la red. Y recuerda que la residencia dice dónde están los datos; la soberanía pregunta además quién puede acceder a ellos y quién controla esas protecciones.

**El mercado se mueve en esa dirección.** El mismo 19 de octubre, Fortanix anunció soporte para Confidential Containers (CoCo), proyecto de la CNCF que, según SiliconANGLE, alcanzó estado de incubación en julio. Su encuesta de Atomik Research a 300 líderes de IA de grandes empresas estadounidenses indica que el 93% reconoce que el cifrado tradicional no protege los datos durante el procesamiento de la IA, y el 41% dice haber bloqueado un despliegue por dudas de seguridad. Ambas son cifras de una compañía que vende en este mercado.

Según el informe de ResearchAndMarkets, el mercado de confidential computing pasa de US$12.280 millones en 2025 a US$16.690 millones en 2026 y se proyecta en US$54.920 millones en 2030. Como toda proyección de un informe de mercado, conviene tomarla como orden de magnitud, no como promesa.

**Nuestra lectura.** La tesis es simple: el cuello de botella de la IA agéntica ya no es la inteligencia del modelo, es la capacidad de gobernarlo. Hemos delegado autoridad en software que actúa solo, pero la mayoría de organizaciones no ha construido el botón de apagado selectivo. Un agente que no puedes retirar sin parar el negocio es un riesgo concentrado, por brillante que sea.

Esto encaja con algo que venimos defendiendo: el peligro real de la IA agéntica a corto plazo no es una superinteligencia lejana, sino fallos mundanos de control, como el fraude automatizado o credenciales mal acotadas. Son problemas de higiene operativa, y por eso tienen solución. La identidad por agente, las credenciales efímeras y las políticas deterministas no requieren ningún avance científico, solo disciplina.

Hay además un aprendizaje transferible: la guardrail es una capa de experiencia, la política de acceso es el control real. Quien mezcle ambas conceptos descubrirá la diferencia en el peor momento.

Un matiz de honestidad: el 14% proviene de un sondeo de tamaño y composición que el artículo no detalla, y parte del marco lo propone un proveedor con interés comercial. Sirve como señal de dirección, no como censo del mercado. Y la recomendación más barata, cronometrar una revocación de prueba y ver qué otros servicios se caen, no depende de comprar nada a nadie.

**Por qué importa a largo plazo.** La abundancia que prometen los agentes, desde investigación biomédica automatizada hasta empresas que funcionan con equipos mínimos, solo llegará si la sociedad confía en delegarles tareas reales. Esa confianza se construye con infraestructura de control demostrable. En el corto plazo toca una transición incómoda, con incidentes y empresas que aprenden por las malas; en el largo, quienes hayan resuelto el control serán los que puedan delegar más con seguridad.

La pregunta que ordena todo, y que el propio artículo plantea, es casi una prueba de madurez: cuando el agente deja de ser confiable, ¿puedes apagarlo sin apagar el negocio?