La mayoría de las herramientas actuales de seguridad empresarial se basan en un conjunto muy concreto de supuestos. Y eso no es malo, ya que dichos supuestos se han puesto a prueba y validado miles de veces durante los últimos veinte años. Entre los principales se encuentran que el software hace lo que se le indica, que se pueden crear perfiles de los usuarios y que los sistemas se comportan de forma predecible en condiciones conocidas. Este enfoque funcionaba cuando se trataba de proteger API, servidores web o a personas con malos hábitos en el uso de contraseñas.
Pero todo eso deja de funcionar cuando entran en escena los agentes autónomos.
Los agentes no siempre siguen guiones. Tampoco operan siempre siguiendo rutas definidas de forma estática. Razonan, planifican, se adaptan y, si no prestas atención, pueden comportarse de forma indebida. Y eso significa que tu estrategia de defensa clásica resulta, visto en retrospectiva, demasiado optimista.
Afortunadamente, los investigadores de seguridad están empezando a abordar esta realidad. Una clara muestra de ello llegó en forma de artículo académico: «Cómo proteger la IA agéntica: modelado de amenazas para agentes basados en LLM». No se limita a plantear un montón de nuevos escenarios alarmantes, sino que ofrece un nuevo marco operativo, diseñado para el mundo agéntico en el que nos estamos adentrando de lleno.
SHIELD: un marco diseñado para los agentes, no para las API
Los autores presentan SHIELD, un enfoque por capas para gestionar agentes autónomos en entornos reales. No se trata simplemente de una lista de vectores de ataque, sino de un modelo de gobernanza. SHIELD incluye:
- Entorno aislado: Define exactamente a qué puede acceder un agente (herramientas, archivos, API) antes de que actúe. Utiliza algún tipo de control de acceso estricto. La premisa fundamental es sólida, y ya existen numerosas iniciativas para regular el uso de herramientas por parte de la IA en general.
- Supervisión humana: Introduzca puntos de control o vías de escalado antes de que se produzcan acciones irreversibles. Parece bastante obvio, ya que forma parte integral de la mayoría de las iniciativas de automatización.
- Restricciones de la interfaz: Reglas estrictas de entrada y salida para la interacción del agente con el sistema. Suena a validación de entradas y comprobación de respuestas. Vaya.
- Seguimiento de la ejecución: Supervisa las llamadas a herramientas, los cambios en el estado de la memoria y los bucles de planificación. Observabilidad. Observabilidad. Observabilidad.
- Registro: Captura los pasos de razonamiento y el uso de herramientas, no solo los resultados. Este punto es necesario para formar un buen acrónimo, pero en realidad está relacionado con el seguimiento anterior y forma parte de una estrategia global de observabilidad.
- Reproducción determinista: Reconstruir las sesiones de inferencia para auditar por qué ocurrió algo, no solo qué. Me resulta increíblemente difícil creer que esto sea posible, dado que recrear el «estado» de un agente —en realidad, de cualquier IA— es prácticamente imposible. Pero bueno, si se pudiera hacer, sería genial.
Aún estamos en una fase inicial, pero la idea central de SHIELD es crucial: la IA agéntica requiere nuevos puntos de control, nuevos supuestos y nuevos modelos mentales. Puede que lo hayamos mencionado recientemente, como en este libro blanco. Pero, por ahora, resumamos qué significa realmente para los responsables y los ingenieros de seguridad.
Los cinco cambios que debe adoptar la seguridad para la IA agéntica
1. De los modelos de amenazas estáticos a la supervisión dinámica del comportamiento
Los modelos de amenazas tradicionales presuponen que los atacantes siguen patrones conocidos, como el movimiento lateral, la escalada de privilegios y la entrega de cargas maliciosas. Pero los agentes no siguen ningún patrón conocido. Pueden improvisar.
Los equipos de seguridad deben empezar a supervisar los comportamientos emergentes. Eso implica crear telemetría sobre lo que hacen los agentes, cómo razonan y cuándo se desvían de las rutas previstas. Semántica. Observabilidad. No hace falta decir más.
2. De los controles perimetrales a la aplicación de políticas en tiempo de ejecución
Los cortafuegos y las protecciones a nivel de puerta de enlace no sirven de nada cuando el agente LLM ya está dentro utilizando herramientas, accediendo a archivos o enviando solicitudes a API de forma autónoma.
La seguridad debe acercarse al entorno de ejecución y aplicar en tiempo real permisos específicos para cada tarea, aislamiento del entorno y validación de intenciones. Piense en ello como una política basada en inferencias: lo que un agente puede hacer debe comprobarse en el momento en que decide hacerlo. Esto supone la convergencia de los planos de datos y de control, y la seguridad debe formar parte de ella.
3. Del registro de eventos a la captura del contexto
No se puede proteger lo que no se comprende y, cuando se trata de agentes, para comprenderlos hace falta algo más que registros. Es necesario registrar y poder rastrear las cadenas de prompts, los metadatos de las llamadas a herramientas, las instantáneas de memoria y el contexto de ejecución. El contexto es el nuevo perímetro.
¿Por qué el agente programó cinco reuniones y envió un correo electrónico a un proveedor a las dos de la madrugada? No podrás saberlo a menos que puedas reproducir su árbol de decisiones. Esto no es observabilidad. Es análisis forense de agentes.
4. De las revisiones de código a las pruebas de comportamiento
La lógica de un agente no está en el código, sino en la combinación de pesos, instrucciones, herramientas y contexto. Esto hace que la revisión estática resulte inútil.
Lo que se necesita es un control de calidad del comportamiento en un entorno aislado: simular casos límite, entradas maliciosas y límites de permisos. Hay que tratar a los agentes como si fueran ingenieros júnior en formación, no módulos de código deterministas.
El red teaming debe evolucionar de «penetrar en el sistema» a «manipular al agente», de forma reiterada y prestando especial atención a las cascadas de fallos.
5. De la identidad del usuario a la identidad y el ámbito del agente
Actualmente, el control de acceso se centra principalmente en el usuario: ¿quién eres y qué roles tienes? Este enfoque no sirve para los agentes. Ahora es necesario asignar una identidad, un ámbito de privilegios y unos límites de tareas a los actores de IA, además de establecer una caducidad automática (como un TTL), aislarlos de la memoria compartida y mantener registros de auditoría persistentes.
En resumen: la confianza cero se aplica ahora a los actores no humanos. Y deben ganarse esa confianza cada vez que utilizan una herramienta o acceden a un recurso.
La seguridad debe adaptarse
La IA agéntica no es solo una novedad, sino un cambio a nivel de sistema. Cuando los modelos adquieren autonomía, aumenta la entropía de tu sistema y tus antiguas suposiciones se convierten en riesgos.
Lo que SHIELD acierta no es solo su lista de controles, sino su filosofía, que incluye dos supuestos fundamentales:
- Da por hecho que los agentes se desviarán del guion, ya sea por su propia naturaleza o por manipulación
- Asuma que los errores de razonamiento pueden provocar efectos secundarios en todo el sistema
Los equipos de seguridad que adopten estas medidas ahora crearán mecanismos de protección escalables. ¿Y los que no? Serán quienes tengan que arreglar el desastre después de que los agentes «solo intentaran ayudar».
Así que no, los marcos actuales no son suficientes. Los agentes ya están aquí. Es hora de abordarlos con una gobernanza que entienda realmente qué son.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.