A medida que los agentes de IA evolucionan de copilotos a actores autónomos, el sector converge en una abstracción común: «habilidades de los agentes».
Las habilidades de los agentes formalizan lo que un agente sabe hacer. Agrupan instrucciones, comportamientos esperados y el uso declarado de herramientas en artefactos portátiles que se pueden compartir, versionar y reutilizar en distintos agentes y plataformas. Conceptualmente, desempeñan el mismo papel que en su día tuvieron los complementos para los entornos de desarrollo integrados (IDE) o las extensiones para los navegadores.
Lo que confiere verdadero peso a este modelo es que ya no es experimental ni propietario. Anthropic ha publicado un estándar abierto de Agent Skills, que plantea las habilidades como una capa portátil e interoperable, en lugar de como un elemento específico de un framework. Del mismo modo que MCP estandarizó la forma en que los agentes se comunican con las herramientas, Agent Skills está estandarizando cómo los agentes adquieren capacidades.
Eso es importante. Los estándares abiertos tienen poder de atracción. Atraen ecosistemas, herramientas, registros y, con el tiempo, la adopción empresarial. Cuando los proveedores se alinean en torno a una abstracción común, esta deja de ser una curiosidad y empieza a convertirse en infraestructura. El lanzamiento en diciembre de 2025 incluyó habilidades de socios de diversos proveedores (Atlassian, Figma, Canva, Stripe, Notion y Zapier), lo que demuestra que el estándar ya está cobrando impulso.
Lo que significa que las implicaciones para la seguridad ya no son hipotéticas.
Por qué las habilidades de los agentes cambian el modelo de seguridad
Las habilidades de los agentes son deliberadamente ligeras. Están diseñadas para que sean legibles por las personas, fáciles de crear y sencillas de distribuir. La mayoría de las implementaciones utilizan Markdown para definir el comportamiento y YAML para los metadatos, ya que el objetivo es facilitar al máximo su intercambio.
Desde el punto de vista de la productividad de los desarrolladores, eso es una ventaja.
Desde el punto de vista de la seguridad, esto genera un patrón conocido pero peligroso: intención ejecutable transmitida como contenido.
Las habilidades se cargan en tiempo de ejecución. Operan dentro del bucle de razonamiento del agente. Pueden influir en la planificación, la selección de herramientas y el orden de ejecución. A menudo se obtienen de forma dinámica y se combinan transitivamente. En otras palabras, se comportan menos como archivos de configuración y más como elementos de entrada de la cadena de suministro.
Fundamentalmente, las habilidades no imponen nada. Se limitan a declarar lo que un agente desea hacer, pero no restringen lo que realmente puede hacer.
Esa distinción lo es todo.
Una vez que una habilidad está activa, los controles tradicionales de «desplazamiento a la izquierda» en los que confían los desarrolladores pierden gran parte de su relevancia. No hay ninguna solicitud de incorporación de cambios para el plan interno de un agente. No hay ninguna revisión humana del código antes de que se ejecute una llamada a una herramienta. No hay pausa alguna entre el razonamiento y la ejecución.
En el caso de los agentes, el desarrollo tiene lugar en tiempo de ejecución.
La brecha de control que las habilidades no cubren
Resulta tentador considerar las habilidades de los agentes como una superficie de seguridad. Al fin y al cabo, enumeran las herramientas necesarias y el comportamiento esperado. Parece un lugar natural para incorporar medidas de protección.
Pero las habilidades se encuentran en el lugar equivocado de la pila.
Se encuentran dentro del agente. Las interpreta el mismo modelo que optimiza la finalización y el progreso. Pedirle a una habilidad que garantice la seguridad equivale a pedirle al agente que se contenga. Eso nunca ha funcionado de forma fiable y nunca lo hará.
Y lo que es más importante, las habilidades carecen de autoridad. No pueden revocar el acceso, limitar la ejecución, inspeccionar los efectos secundarios ni impedir la exfiltración de datos. En el mejor de los casos, ofrecen indicaciones. En el peor, generan una falsa sensación de control.
La seguridad no puede limitarse al ámbito de la descripción de intenciones. Debe aplicarse en el ámbito de la ejecución de capacidades. En términos más habituales, se trata de aplicar el control de acceso y la gestión de identidades a los sistemas autónomos. Nuestros clientes reconocen que este es un reto importante relacionado con la IA agéntica.
Por qué la capa de herramientas es el único límite realmente aplicable
Los agentes no causan daño por razonar de forma incorrecta. Causan daño cuando el pensamiento se convierte en acción en el límite de la capa de herramientas.
Toda acción relevante de un agente, desde llamar a una API hasta escribir código, desplegar infraestructura, consultar una base de datos o enviar datos a otro sistema, pasa por una interfaz de herramientas. Esa interfaz es donde la autonomía se encuentra con la realidad. También es el último punto que un agente no puede eludir si el sistema está diseñado correctamente.
Por eso, un «cortafuegos de herramientas» se perfila como el mejor plano de control para la seguridad de los agentes.
Un cortafuegos de herramientas media en cada invocación de una herramienta. Se sitúa entre los agentes y los sistemas con los que interactúan, aplicando las políticas antes de la ejecución, en lugar de realizar auditorías una vez causado el daño. A diferencia de los controles a nivel de prompt o de los metadatos de las habilidades, opera fuera del bucle de razonamiento del agente y, por tanto, no depende de que el modelo cumpla las políticas.
Esta es la capa en la que la «seguridad de MCP» se combina con las «barreras de protección de la IA». MCP define cómo se comunican los agentes con las herramientas. El cortafuegos de herramientas decide si tienen permiso para hacerlo y bajo qué restricciones. Si las herramientas son las que permiten a los agentes aprender «nuevos trucos», el cortafuegos de herramientas es el control que evita que esos trucos acaben incendiando la casa.
Conceptualmente, no es una idea nueva. Es el mismo patrón en el que se sustentan las puertas de enlace de API, las mallas de servicios y las arquitecturas de confianza cero. Lo novedoso es el actor que se encuentra al otro lado de la interfaz.
En la práctica, un cortafuegos de herramientas actúa como intermediario. Los agentes nunca disponen de credenciales directas para acceder a sistemas externos. Solicitan acciones, y el cortafuegos decide si están permitidas, en qué condiciones y con qué restricciones.
Un cortafuegos de herramientas evalúa el contexto de identidad (qué agente, qué habilidad y qué entorno), inspecciona los parámetros y las cargas útiles, aplica políticas como código y emite credenciales de corta duración y con privilegios mínimos solo cuando corresponde. Supervisa los resultados, registra su procedencia y proporciona un registro de auditoría verificable del comportamiento autónomo.
Esto convierte las habilidades en lo que deberían ser: solicitudes de capacidad, no concesiones de autoridad.
Queda por ver qué forma adoptará un firewall de herramientas; será el mercado quien lo decida. Pero su incorporación al conjunto de herramientas de seguridad para arquitecturas de agentes es inevitable.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Las 10 claves para la entrega de aplicaciones de IA: requisitos de las aplicaciones a medida
La IA convierte lo «personalizado» de caso excepcional en opción predeterminada: las solicitudes pasan a ser cadenas componibles (selección de modelos, recuperación, políticas y herramientas), por lo que la entrega debe adaptarse a cada solicitud, no a cada aplicación.
Las 10 principales amenazas para la entrega de aplicaciones de IA: observabilidad incompleta
La IA no escalará por sí sola. Sin un plano de control unificado que elimine las barreras entre herramientas y responsabilidades, la inferencia se convierte en la capa más frágil y que más coordinación requiere.
Las 10 principales amenazas en la entrega de aplicaciones de IA: prácticas de DNS deficientes
Para los sistemas de inferencia y los sistemas agénticos, la resiliencia del DNS es fundamental para la disponibilidad y el rendimiento: una resolución deficiente provoca errores de enrutamiento, picos de latencia e interrupciones del servicio en distintas regiones.
Comportamiento y límites: el cambio hacia la seguridad agéntica
Los agentes generan secuencias emergentes y sin límites en las que el riesgo se acumula con el tiempo. La seguridad debe pasar de validar solicitudes individuales a supervisar continuamente el comportamiento en flujos de varios pasos que evolucionan con el tiempo.
La IA está impulsando la aparición de nuevos tipos de tráfico
La adopción de la IA está dando lugar a nuevos tipos de tráfico de primer nivel: solicitudes de inferencia, tráfico de automatización generado por máquinas y tráfico de telemetría de gran volumen que alimenta los bucles de control.
La compresión ya no es una cuestión de velocidad, sino del coste de pensar
En la era de la IA, la compresión reduce el coste de pensar, no solo el ancho de banda. Descubre cómo la compresión de prompts, resultados y modelos permite controlar los gastos de inferencia de la IA.