La promesa y los peligros de los sistemas multiagente

Imagina que le das a alguien las llaves de tu coche y le pides que vaya a comprar. Si la tienda está cerca y tu lista es sencilla, hay poco margen de error. Pero a medida que la tarea se complica —por ejemplo, si hay que comprar marcas concretas, tener en cuenta restricciones alimentarias y ajustarse a un presupuesto limitado—, la complejidad aumenta. Si esta tarea aparentemente trivial sale mal, las consecuencias podrían ir desde compras no autorizadas hasta dejar el vehículo siniestro total.

Muchas organizaciones se enfrentan actualmente a una situación similar al implementar agentes de IA. Crear agentes capaces de realizar de forma excepcional todas las tareas de un flujo de trabajo resulta difícil y costoso y, hasta hace poco, la comunicación entre agentes y herramientas carecía de estándares uniformes, es decir, de un equivalente en IA a lo que HTTP representa para la conexión web.

Aquí entran en juego los sistemas multiagente (MAS), un nuevo paradigma de IA que distribuye las responsabilidades entre numerosos agentes altamente especializados que colaboran para ofrecer resultados más precisos y pertinentes. Los MAS lo consiguen limitando deliberadamente el alcance, el acceso y la formación en conocimientos específicos de cada agente, y mejoran la escalabilidad mediante la ejecución modular de tareas. El potencial de los MAS resulta convincente, pero, a medida que las organizaciones entregan a la IA agéntica «las llaves del reino», ese potencial viene acompañado de un aluvión de retos de seguridad. Tras la promesa se esconde el peligro: la ampliación de las superficies de ataque y la necesidad imperiosa de replantear la seguridad, la confianza y la rendición de cuentas en los sistemas de IA agéntica.

¿Qué son los sistemas multiagente?

En esencia, los sistemas multiagente (MAS) constituyen un marco para crear sistemas distribuidos de IA agéntica. En lugar de depender de agentes de IA monolíticos capaces de realizar muchas tareas de forma poco óptima, los MAS distribuyen las tareas entre agentes especializados en una o varias áreas concretas, a menudo organizados en jerarquías o grupos de subagentes. Estos agentes actúan de forma autónoma, pero cooperan para alcanzar objetivos individuales y compartidos. Dentro de los MAS, hay varias categorías clave de agentes que conviene tener en cuenta:

• Superagentes – Orquestadores de flujos de trabajo dentro de un sistema multiagente (MAS). Su grado de centralización varía según el caso de uso; en algunos flujos de trabajo sencillos de MAS, todos los agentes tienen el mismo nivel de autonomía.
• Agentes de triaje – Asignadores de recursos responsables de garantizar que cada agente tenga acceso a las herramientas y los recursos necesarios para ejecutar las tareas de forma eficaz.
• Agentes guardianes – Validadores que actúan como capas de control, comprobando la precisión de los resultados y garantizando que se ajusten a la intención del usuario.

¿Por qué los sistemas multiagente son viables de repente?

El concepto de un sistema distribuido o un panel de expertos no es nuevo, pero, hasta hace poco, la comunicación entre agentes de IA carecía de estándares uniformes que la hicieran viable. Gracias a la introducción por parte de Anthropic del Protocolo de Contexto de Modelo (MCP), la recuperación de datos y el acceso a herramientas en fuentes estructuradas cuentan ahora con un estándar universal. Además, gracias al marco Agent-to-Agent (A2A) de Google, los agentes de IA disponen ahora de un marco independiente del modelo para comunicarse con otros agentes mediante lenguaje natural. En pocas palabras, MCP permite la comunicación entre agentes y datos, mientras que A2A permite la comunicación entre agentes.

Tres razones por las que la adopción de los sistemas multiagente es inminente

Los obstáculos más importantes para lograr un ROI positivo con la IA agéntica son la precisión, el coste y la escalabilidad. Los sistemas multiagente (MAS), pese a las inevitables complejidades que introducirán, constituyen uno de los mecanismos más prometedores para optimizar las tres categorías:

1. Precisión: Los agentes especializados añaden una capa modular de reducción de riesgos y garantía de calidad que puede adaptarse a las necesidades del flujo de trabajo. Al limitar el ámbito de responsabilidad de cada agente, los sistemas multiagente (MAS) reducen el riesgo de alucinaciones o interpretaciones erróneas en comparación con los modelos monolíticos (Yang et al., 2025).
2. Coste – Aunque los costes de entrenamiento de numerosos agentes especializados en comparación con un agente generalista pueden variar, es probable que el coste de inferencia en un entorno MAS distribuido sea menor debido a unos niveles más bajos de redundancia y procesamiento excesivo (Gandhi, Patwardhan, Vig, & Shroff, 2024).
3. Escalabilidad – Los sistemas multiagente (MAS) transforman la forma de escalar los ecosistemas de IA. En lugar de sustituir o volver a entrenar sistemas completos, se pueden añadir agentes de forma modular para satisfacer nuevas necesidades empresariales a un coste menor.

Cuando los MAS funcionan bien

Utilicemos el diagrama siguiente para analizar un caso de uso hipotético. Imagine que es asesor financiero y que a su clienta, Alice, le gusta recibir informes personalizados sobre el rendimiento de su cartera.

El superagente recibe la instrucción, determina la intención global y llama al agente de triaje para identificar los recursos necesarios. El agente de triaje o el motor basado en reglas decide llamar al agente de CRM para obtener el contexto específico del usuario, al agente de localización para determinar el país o la región de Alice y al agente de cartera para obtener los datos de la plataforma de negociación. El agente de cumplimiento valida a qué datos y herramientas se permite acceder para esta tarea antes de que el agente de triaje realice estas llamadas.

Es probable que los sistemas multiagente se adopten por las mismas razones por las que la mayoría de las organizaciones recurren a entornos híbridos: la flexibilidad prima sobre casi cualquier otra consideración a la hora de equilibrar el rendimiento, la seguridad y la gestión de costes.

Cada uno de esos agentes posteriores cuenta con jerarquías y grupos adicionales de subagentes para tareas específicas, como la personalización o el análisis de noticias. Algunos funcionan de forma interconectada, mientras que otros están aislados.

Una vez elaborado el informe, se envía al agente de cumplimiento normativo para verificar que satisface todos los requisitos regulatorios. Finalmente, se remite al agente supervisor o a una persona encargada de revisarlo para validar que el resultado sea preciso y responda a las necesidades del cliente. De este modo, se entrega un activo valioso, preciso y personalizado.

¿Qué ocurre cuando un sistema multiagente (MAS) falla?

Imaginemos que su flujo de trabajo MAS no recibe el mejor tratamiento posible. Cada conexión entre sus agentes es una API estándar, un vector de ataque habitual al que muchas organizaciones siguen estando expuestas.

Tu prompt inicial ha sido manipulado mediante un ataque de inyección que incluye instrucciones para enviar el informe final de Alice a la dirección de correo electrónico de un atacante. Esto no debería suponer un problema si el agente de cumplimiento lo detecta, pero una conexión de API no segura permite llevar a cabo un ataque de suplantación. Haciéndose pasar por el agente de cumplimiento, el atacante autoriza a los agentes posteriores a acceder a la cuenta bancaria y a los datos de la tarjeta de crédito de Alice, y elimina otras restricciones.

Sin medidas de protección, los agentes experimentan una escalada exponencial de privilegios, por lo que acabarán accediendo a todo aquello a lo que puedan acceder. El agente de personalización podría decidir que el saldo de la cuenta de ahorro de Alice constituye ahora un contexto pertinente, o quizá el agente de análisis financiero considere erróneamente que los algoritmos de negociación propios y los acuerdos de colaboración son datos relevantes para los agentes relacionados.

Cuando el resultado llega a la persona encargada de supervisar el proceso o al agente de control para su validación, parece preciso y acorde con la intención del usuario, pero se ha producido una propagación desmedida de la confianza, una divulgación de información y una escalada de privilegios entre las distintas conexiones. Con una simple solicitud, hemos socavado la confianza de nuestros clientes y socios, y dejado al descubierto innumerables vulnerabilidades.

La realidad se encuentra en algún punto entre la precisión y el peligro

El funcionamiento habitual de los sistemas multiagente se sitúa en un punto intermedio entre estos dos ejemplos: la precisión de los resultados aumenta notablemente, pero proteger la superficie de ataque se vuelve mucho más difícil. Aunque ahora es técnicamente posible crear aplicaciones totalmente agénticas, la implementación más práctica de estos sistemas será, en gran medida, híbrida e integrará tanto infraestructuras heredadas como componentes de IA. Esta transición no se producirá de la noche a la mañana, pero la complejidad de esta cuestión exigirá una colaboración proactiva entre las partes interesadas para determinar cómo crear sistemas agénticos que aporten valor empresarial sin introducir más riesgos que beneficios.

Guía para la protección

A lo largo de la historia de las aplicaciones modernas, observamos un ciclo recurrente de consolidación e hibridación. Las empresas suelen comenzar dependiendo por completo de plataformas monolíticas, pero con el tiempo adoptan carteras híbridas que equilibran mejor las necesidades funcionales y los costes. Es probable que la IA agéntica siga la misma trayectoria. El entusiasmo inicial por las plataformas monolíticas dará paso a un ecosistema distribuido de aplicaciones y API que abarcará entornos locales, SaaS y perimetrales, además de la inevitable proliferación de herramientas que vemos hoy en día. Al anticiparse a este ciclo, las organizaciones pueden adoptar medidas proactivas para prepararse para los flujos de trabajo impulsados por sistemas multiagente (MAS) y el futuro distribuido de la IA.

1. Proteja sus API – La necesidad de proteger las API cobra cada vez más importancia con la llegada de las conexiones MCP y los sistemas agénticos. Las soluciones deben abarcar todas las API conocidas y desconocidas, detectar vulnerabilidades de forma dinámica y ofrecer una visibilidad continua.
2. Exija un comportamiento explicable – Aunque la «caja negra» de la IA sigue existiendo, los agentes con ámbitos deliberadamente limitados pueden combinarse con comportamientos explicables programables para mejorar la trazabilidad de las alucinaciones y los resultados perjudiciales. Los resultados de los agentes deben registrarse y marcarse si presentan comportamientos problemáticos durante la ejecución, así como analizarse para evitar su proliferación no autorizada.
3. Establecer políticas de intervención humana (HITL) – Se utiliza en tareas en las que las decisiones erróneas tienen un gran impacto, se requiere supervisión humana para garantizar el cumplimiento normativo y no existen protocolos establecidos para los casos excepcionales. Los agentes de protección no sustituyen a la inteligencia humana y pueden resultar un objetivo atractivo para los atacantes. Para evitar cuellos de botella, los sistemas tradicionales basados en reglas que incorporan HITL siguen siendo el método más seguro para mantener el riesgo por debajo de un umbral específico. Por debajo de los umbrales establecidos, conviene utilizar los agentes de protección con moderación para reducir aún más el riesgo, pero las organizaciones deberán sopesar la mitigación del riesgo que proporciona un agente frente al peor escenario posible: que dicho agente se vea comprometido.
4. Aplique el modelo de confianza cero a los datos sensibles – Aplique los principios de acceso con privilegios mínimos para limitar los datos a los que los agentes pueden acceder y que pueden compartir, verifique continuamente los permisos para frenar la escalada de privilegios y dé por sentado que puede producirse una brecha en cada etapa y con cada agente.
5. Consolidar herramientas dispares - A medida que se incorporan agentes que proliferan rápidamente al ya de por sí amplio conjunto de herramientas actual, ya no es posible lograr la observabilidad mediante soluciones fragmentadas. Las organizaciones deben invertir en plataformas de seguridad unificadas que consoliden las herramientas y la visibilidad que los profesionales de la seguridad necesitan para mantener una postura de seguridad sólida en toda la nueva superficie de ataque ampliada.

No puedes frenar la proliferación de agentes solo con ejercicios de red teaming

Los sistemas con resultados no deterministas no pueden protegerse mediante soluciones deterministas. Las prácticas de pruebas convencionales que dependen de resultados deterministas no permiten abordar una tecnología que no ofrece resultados coherentes de una iteración a la siguiente. Si a esto se suma el hecho de que es poco probable que una sola organización posea o controle la mayoría de las API o los agentes de un flujo de trabajo, los sistemas multiagente (MAS) exigen un enfoque de seguridad más integral.

Los sistemas multiagente aumentan la complejidad a cambio de una mayor precisión. Cada nueva conexión introduce riesgos, cada límite de confianza añade vulnerabilidades y cada agente amplía la superficie de ataque. Sin embargo, en muchos sentidos, las nuevas reglas siguen siendo las de siempre; lo que ocurre es que ahora resulta aún más crucial cumplirlas. Proteger las API, aplicar un modelo de confianza cero y supervisar el comportamiento de los sistemas son prácticas fundamentales que cobran cada vez más importancia a medida que se acelera la adopción de los sistemas multiagente.

Aunque no veremos una adopción generalizada de la noche a la mañana, preparar su infraestructura de seguridad para esta eventualidad permitirá a su organización no solo estar lista para los sistemas multiagente (MAS), sino también protegerse frente a las amenazas a las que se enfrentan cada vez más los sistemas modernos.

Los despliegues de IA ya han ampliado la superficie de ataque, y los sistemas que proteja hoy constituirán la base de sus defensas del mañana. A medida que despliegue aplicaciones de IA a gran escala, descubra cómo F5 proporciona y protege aplicaciones de IA en cualquier entorno.