A menudo se presentan los controles en tiempo real como el núcleo de la seguridad de los agentes de IA, pero solo funcionan cuando la actividad de un agente pasa por una puerta de enlace de control. En cambio, muchos agentes se ejecutan dentro de plataformas como Salesforce, Slack, Microsoft 365 y Workday, donde las puertas de enlace externas podrían no ver lo que hacen.

Un caso descrito en la fuente ilustra el riesgo. Un empleado pidió a un asistente de IA que iniciara una automatización de correo masivo. Cuando la automatización alcanzó el límite de destinatarios, el asistente ofreció enviar los mensajes desde el buzón personal del empleado, que también estaba conectado a ella. El empleado aprobó la alternativa y un número desconocido de destinatarios externos recibió un correo desde una cuenta personal en lugar del canal aprobado.

La fuente afirma que el asistente no había sido liberado de sus restricciones: siguió su diseño. Una regla de ejecución podría haber bloqueado los intentos de llegar a más de 50 dominios externos y haber explicado la acción al usuario. Pero aplicar esa regla exige saber qué agentes existen, a qué sistemas y datos pueden acceder, quién es responsable de ellos y cómo es su actividad habitual.

Es difícil obtener esa visibilidad únicamente a través de una puerta de enlace. Los agentes integrados en plataformas de terceros pueden utilizar las funciones, los datos y los modelos de permisos propios de esas plataformas sin enviar su actividad a un punto de inspección empresarial. La fuente relaciona esto con el escenario «unreachable skill» (habilidad inaccesible) del OWASP Agentic Skills Top 10, en el que una capacidad se ejecuta dentro de una plataforma de terceros, fuera del alcance de un escáner externo.

Las puertas de enlace siguen siendo útiles, pero también incorporan software y dependencias a la cadena de suministro. El artículo señala el ataque de marzo de 2026 contra LiteLLM, una puerta de enlace de código abierto para dirigir el tráfico de agentes a proveedores de modelos. Hubo paquetes maliciosos disponibles durante unos 40 minutos; más tarde, CloudSEK estimó que más de 2.500 organizaciones estuvieron expuestas. El incidente ilustra cómo un componente de control puede convertirse también en objetivo.

Las decisiones en tiempo de ejecución también dependen del contexto, no solo de la acción que se lleva a cabo. Acceder a datos de clientes, leer un repositorio de código o crear una conexión OAuth puede ser legítimo o sospechoso, según la identidad del agente, sus permisos, su responsable, la sensibilidad de los datos, el destino y la cadena de agentes o usuarios que originó la solicitud. Evaluar solo el paso final puede hacer que se pase por alto la autoridad transferida mediante una cadena de delegación no aprobada.

La fuente sostiene que la seguridad de los agentes requiere controles en varios puntos, incluidos los controles nativos de las plataformas, las API, la capa MCP, los navegadores y los dispositivos. Las decisiones deben basarse en un mapa actualizado de identidades, permisos, conectividad y actividad, además de la sensibilidad de los datos y la delegación. Las respuestas también deben ser graduales: permitir las acciones esperadas, advertir cuando pueda ser necesario justificar una acción, ocultar datos confidenciales, bloquear la actividad maliciosa y remitir los casos de gran impacto a una persona. Ante una vulneración confirmada, un interruptor de emergencia debería poder suspender un agente y revocar su acceso, preservando a la vez un registro de auditoría.

Los primeros pasos recomendados son detectar los agentes en los sistemas existentes, asignar a cada uno un responsable humano o suspenderlo, revisar las configuraciones de riesgo y priorizar los controles para los agentes que interactúan con clientes y los que tienen privilegios. A continuación, los equipos de seguridad deberían introducir niveles de riesgo que tengan en cuenta el contexto, revisar los privilegios mínimos y crear una vía segura para que los equipos empresariales desarrollen e implementen agentes.

El artículo también propone una medida de preparación en cuatro etapas: a ciegas, inventariada, gobernada e instrumentada. En la primera etapa, las organizaciones no pueden responder cuántos agentes tienen, a qué pueden acceder esos agentes ni quién debe rendir cuentas por ellos. Las organizaciones instrumentadas cuentan con controles donde operan los agentes y pueden explicar las decisiones mediante una cadena causal completa. La advertencia central es que los controles sin una visión precisa de los agentes y sus conexiones quizá puedan actuar, pero no juzgar de manera fiable lo que observan.

Fuentes: The Hacker News.