Mucha gente no está analizando hasta sus últimas consecuencias las implicaciones de la IA agéntica. Debemos hacerlo, especialmente en lo que respecta a la seguridad, aunque haga tambalear nuestros cimientos.
Spoiler: lo hará.
Por ejemplo, el Top 10 de OWASP sobre agentes de IA acierta en su premisa: los agentes amplifican las vulnerabilidades existentes. Tus API no se han vuelto seguras de repente por el mero hecho de colocar un LLM delante de ellas. De hecho, ahora están más expuestas, ya que hay algo que las sondea continuamente, encadena acciones y explora distintas vías como un atacante muy paciente. La lista también destaca acertadamente la ejecución en varios pasos, el encadenamiento de herramientas y cómo evolucionan las decisiones con el tiempo.
Pero no llega a abordar la cuestión más profunda a la que debemos enfrentarnos.
Aciertos y errores
La lista de OWASP señala que los agentes no inventan modos de fallo completamente nuevos, sino que hacen más peligrosos los ya existentes. El uso indebido de herramientas, la herencia de privilegios entre pasos y el secuestro de objetivos son riesgos reales que se manifiestan a lo largo de secuencias, en lugar de limitarse a instrucciones o solicitudes aisladas. OWASP comprende la naturaleza dinámica de los sistemas agénticos. Todo esto es cierto.
Sin embargo, las directrices siguen basándose en gran medida en el modelo tradicional de solicitud-respuesta. Presuponen que la solicitud es la principal unidad de control: validar la identidad, comprobar los permisos, inspeccionar y decidir. Ese modelo funcionaba cuando los flujos de trabajo estaban predefinidos y delimitados por el diseño de la aplicación.
Los sistemas agénticos rompen con esa premisa.
Construyen flujos en tiempo de ejecución para alcanzar un objetivo. Evalúan los resultados, se adaptan, iteran y amplían el alcance. Cada solicitud individual puede ser perfectamente válida —la identidad es correcta, los permisos son adecuados y cumple las políticas— y, aun así, el comportamiento general puede desviarse considerablemente de lo previsto.
De ahí viene nuestra sensación de haber perdido el control. No es que la identidad nos esté fallando. La autenticación sigue siendo sólida. La propagación y la delegación de credenciales funcionan según lo previsto. Los agentes operan con su propia identidad o con credenciales delegadas, y los tokens fluyen de forma fiable entre los distintos servicios.
El problema está en otra parte. El control de acceso tradicional se basaba en un principio tácito: «flujos acotados». Las aplicaciones definían las secuencias de acciones. Incluso con una lógica de ramificación, el propio sistema limitaba lo que podía suceder. Esa estructura nos permitía evaluar las solicitudes de forma aislada porque las rutas disponibles eran limitadas. Nuestras políticas se basan en esa premisa y nuestros mecanismos de aplicación están concebidos precisamente para hacer respetar esos límites.
Pero los agentes sustituyen los flujos predefinidos por otros emergentes. El comportamiento se desarrolla de forma dinámica y, a menudo, combina llamadas discretas a API con sesiones de larga duración e interacciones en streaming. Un agente podría explorar un conjunto de datos, acumular contexto con el tiempo y, después, realizar operaciones de escritura que nadie había previsto. Los bucles descontrolados, los picos de costes inesperados y las acciones sorprendentes entre sistemas no son fallos de identidad ni de solicitudes individuales, sino el resultado de combinar acciones válidas en secuencias no deseadas.
Por diseño, no tienen límites, pero están restringidos por sistemas de seguridad que presuponen que siguen operando bajo las mismas limitaciones que las aplicaciones tradicionales.
El recorrido de directorios ofrece un claro ejemplo. Desde hace mucho tiempo, consideramos maliciosa la manipulación de rutas y la bloqueamos. Y hacemos bien, porque contamos con un conjunto claramente definido de rutas previstas, y cualquier desviación de ese conjunto debe considerarse sospechosa.
Pero para un agente encargado de recuperar documentos o recopilar contexto de un sistema de archivos, navegar por su estructura no resulta sospechoso. Al contrario, es necesario. Si se bloquea por completo, el agente se vuelve inútil. Si se permite sin límites, se entregan las llaves del reino a un explorador agresivo.
El verdadero problema no es el recorrido, sino que sea ilimitado. El mismo patrón se observa en el uso indebido de herramientas, el secuestro de objetivos y el envenenamiento de la memoria: el riesgo se acumula a lo largo de secuencias, no de forma aislada.
El cambio necesario: de la validación de solicitudes a la gobernanza del comportamiento
La identidad sigue siendo necesaria para la autenticación y la atribución, pero no basta para controlar el comportamiento a lo largo del tiempo. Los modelos basados en roles y ámbitos presuponen patrones predecibles e interacciones acotadas. En entornos agénticos donde la ejecución abarca modelos basados en solicitudes y en sesiones, solo ofrecen un control poco preciso.
Debemos hacer evolucionar el control de acceso hacia una gobernanza del comportamiento. Esto implica evaluar las solicitudes en todo su contexto: qué ha ocurrido hasta el momento, cómo evoluciona el comportamiento y cómo se extienden las acciones entre distintos protocolos. La aplicación de las políticas debe ser continua y tener en cuenta los protocolos, haciendo un seguimiento de la acumulación de acciones tanto en llamadas independientes como en sesiones persistentes.
La solución es una política basada en restricciones. En lugar de prescribir rutas exactas, defina el espacio operativo:
- Límites de recursos (leer de estos conjuntos de datos, pero nunca escribir en producción)
- Límites cuantitativos (límites máximos de acciones, costes o ampliación del alcance)
- Restricciones de capacidad (se requiere una aprobación adicional antes de realizar acciones destructivas)
- Políticas condicionales que se intensifican cuando aumenta el riesgo
Estas restricciones se aplican a toda la secuencia, tanto si se transmite mediante solicitudes HTTP como mediante flujos WebSocket. Las capas arquitectónicas compartidas, como las puertas de enlace de API, las mallas de servicios y las plataformas de orquestación, adquieren una importancia crítica. Proporcionan el punto de observación necesario para supervisar, correlacionar e intervenir a medida que se desarrolla el comportamiento, propagando el contexto de ejecución junto con la identidad.
El propio enrutamiento se convierte en un mecanismo de control: permite redirigir a entornos restringidos, limitar el ritmo o finalizar las secuencias que se aproximen a los límites definidos. La aplicación de las restricciones pasa a ser gradual en lugar de binaria, lo que permite modular el comportamiento sin detener de inmediato el trabajo útil.
La entrega y la seguridad de las aplicaciones deben poder trabajar conjuntamente para alcanzar estos objetivos, coordinándose y comunicándose a través de un plano de control compartido que garantice que el comportamiento esté delimitado por las políticas, no por flujos de trabajo predefinidos.
Este cambio no exige predecir todas las rutas posibles. Exige perfeccionar continuamente las restricciones en función del comportamiento observado, creando un bucle de retroalimentación entre las operaciones y las políticas.
El cambio que debemos hacer
La IA no solo introduce nuevos riesgos. Nos obliga a replantearnos cómo aplicamos los controles de los que ya disponemos. Sin esta evolución, seguiremos oscilando entre sistemas técnicamente seguros pero prácticamente inutilizables y sistemas con grandes capacidades pero que, de forma silenciosa, escapan a nuestro control.
La unidad de seguridad ya no es la solicitud, sino el comportamiento.
La cuestión ya no es simplemente si se permite una solicitud, sino si debe permitirse que continúe el comportamiento que representa dicha solicitud.
Ese es el cambio hacia la seguridad de los agentes que debemos llevar a cabo.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Las 10 claves para la entrega de aplicaciones de IA: requisitos de las aplicaciones a medida
La IA convierte lo «personalizado» de caso excepcional en opción predeterminada: las solicitudes pasan a ser cadenas componibles (selección de modelos, recuperación, políticas y herramientas), por lo que la entrega debe adaptarse a cada solicitud, no a cada aplicación.
Las 10 principales amenazas para la entrega de aplicaciones de IA: observabilidad incompleta
La IA no escalará por sí sola. Sin un plano de control unificado que elimine las barreras entre herramientas y responsabilidades, la inferencia se convierte en la capa más frágil y que más coordinación requiere.
Las 10 principales amenazas en la entrega de aplicaciones de IA: prácticas de DNS deficientes
Para los sistemas de inferencia y los sistemas agénticos, la resiliencia del DNS es fundamental para la disponibilidad y el rendimiento: una resolución deficiente provoca errores de enrutamiento, picos de latencia e interrupciones del servicio en distintas regiones.
Comportamiento y límites: el cambio hacia la seguridad agéntica
Los agentes generan secuencias emergentes y sin límites en las que el riesgo se acumula con el tiempo. La seguridad debe pasar de validar solicitudes individuales a supervisar continuamente el comportamiento en flujos de varios pasos que evolucionan con el tiempo.
La IA está impulsando la aparición de nuevos tipos de tráfico
La adopción de la IA está dando lugar a nuevos tipos de tráfico de primer nivel: solicitudes de inferencia, tráfico de automatización generado por máquinas y tráfico de telemetría de gran volumen que alimenta los bucles de control.
La compresión ya no es una cuestión de velocidad, sino del coste de pensar
En la era de la IA, la compresión reduce el coste de pensar, no solo el ancho de banda. Descubre cómo la compresión de prompts, resultados y modelos permite controlar los gastos de inferencia de la IA.