Un empleado le pide a un agente de IA: «Busca el gasto más grande de cada categoría y envíaselo a nuestro proveedor de papelería para negociar un descuento.»
El agente ejecuta la solicitud exactamente como fue escrita. Encuentra el mayor gasto por categoría, incluido uno almacenado en un sistema de RR. HH. al que el empleado nunca debería haber tenido acceso, y envía la lista por correo electrónico a personas fuera de la empresa. Nadie planeó una filtración. La solicitud era vaga; el agente la interpretó literalmente, y su acceso era mucho más amplio de lo que la tarea requería.
Para un equipo de seguridad, eso es una brecha de datos con un rastro de auditoría perfectamente limpio: credenciales válidas, sistemas autorizados, sin malware, sin atacante. A esto se le llama el insider involuntario: un riesgo de seguridad en IA agéntica con más acceso, autonomía y confianza de los que el trabajo requería.
El perímetro ahora incluye software que recibe instrucciones
Los agentes de IA están saliendo de la fase piloto. Para 2028, se estima que el 33% de las aplicaciones de software empresarial incluirá IA agéntica, frente a menos del 1% en 2024, y al menos el 15% de las decisiones del día a día se tomarán de forma autónoma. Cada nuevo conector a Jira, SAP, SharePoint, correo electrónico o Teams amplía lo que un agente puede leer, modificar y enviar. Los equipos de seguridad han gobernado durante mucho tiempo a qué pueden acceder los empleados. Ahora, el software que actúa en su nombre plantea la misma pregunta.
Las directrices del sector han comenzado a detallar los riesgos de seguridad de la IA, identificando la Agencia Excesiva y la Divulgación de Información Sensible entre las amenazas a abordar en el diseño. La preparación va por detrás: entre las organizaciones afectadas por una brecha relacionada con IA, el 97% carecía de controles de acceso adecuados para IA, y el 63% de todas las organizaciones con brechas no tenía ninguna política de gobernanza de IA, o aún la estaba elaborando.
- Velocidad: Cadenas de decisiones entre modelos y herramientas en milisegundos, cada una condicionada por la anterior. Una pequeña desviación al inicio puede acabar en un lugar que nadie esperaba, y la revisión humana llega solo después de que la acción se ha realizado. La supervisión que depende de que alguien detecte un problema en tiempo real no puede seguir el ritmo.
- Alcance: Un solo agente puede acumular los permisos de varios equipos a la vez, a veces a través de su propia cuenta de servicio. Eso lo convierte en una de las identidades más privilegiadas de la empresa, generalmente con mucho menos escrutinio que un administrador humano.
- Solicitudes vagas: Los empleados hablan con los agentes como lo harían con un compañero de trabajo: frases cortas, informales, abiertas. «Envía los gastos más relevantes al proveedor» deja al agente la tarea de definir «relevante», elegir dónde buscar y seleccionar al destinatario. A medida que los agentes se vuelven rutinarios, menos personas se detienen a verificar el resultado.
En conjunto, estas características apuntan a una conclusión. Un prompt no puede ser la salvaguarda, ni tampoco el buen juicio del usuario. Los controles deben estar fuera del agente, en la arquitectura que lo rodea.
La solución es de la vieja escuela
La seguridad de los agentes de IA no exige una nueva filosofía de seguridad. Exige aplicar una ya establecida a un nuevo tipo de identidad: no confiar en nada por defecto, incluidos los agentes construidos internamente.
Comienza con la identidad. Cada agente recibe sus propias credenciales, acotadas a una única tarea, y nunca toma prestada la sesión de un empleado. A continuación viene el aislamiento, para que un error en un entorno quede contenido allí. La actividad del agente se registra y monitoriza de la misma manera que las cuentas privilegiadas. Para operaciones sensibles, como enviar datos fuera de la empresa, el paso de aprobación está integrado en el software. Un prompt que le dice a un agente que «verifique primero» es una sugerencia, no un control. Lo que se sostiene en una auditoría es un revisor identificado y responsable que da el visto bueno antes de que la acción se ejecute. Eso es Zero Trust aplicado a los agentes: verificación continua, mínimo privilegio, sin suposiciones.
Cerrando la Puerta al Insider Involuntario
Los programas de riesgo interno se han centrado tradicionalmente en las personas: verificar quién se incorpora a la empresa, detectar conflictos de intereses, vigilar accesos inusuales y la extracción de datos. Esas defensas siguen siendo importantes, pero fueron construidas en torno a la motivación. Un agente no tiene ninguna. No tiene agravios que detectar, presión económica que señalar ni historial que revisar, por lo que las señales de advertencia habituales nunca aparecen. Lo que queda es más simple y más fácil de pasar por alto: un sistema al que se le otorgó demasiada autonomía, demasiado poco aislamiento y demasiada confianza.
Eso también hace que el riesgo sea manejable. El insider involuntario no irrumpirá. Las organizaciones lo desplegarán ellas mismas, y cada decisión sobre sus permisos, su entorno y sus aprobaciones es una decisión de seguridad tomada de antemano. Los agentes construidos sobre esa base pueden ofrecer su valor sin convertirse en el próximo informe de incidentes.
Cada agente que una organización conecta es una nueva identidad que asegurar. El Cybersecurity Studio de Globant ayuda a los equipos a mapear dónde los agentes tienen demasiado alcance y a diseñar los controles a su alrededor, desde acceso acotado hasta Zero Trust.
