Los agentes de IA autónomos no se limitan a redactar una respuesta: conectan un modelo con herramientas, APIs, datos y bucles de decisión para perseguir un objetivo. Esa capacidad puede ahorrar trabajo, pero también convierte un error o una instrucción maliciosa en una acción sobre cuentas, servicios, archivos o infraestructura.
La diferencia práctica frente a un chatbot es sencilla: el chatbot suele terminar al entregar texto; el agente puede interpretar información externa, elegir el siguiente paso y ejecutar una operación. Por eso la seguridad no depende solo de revisar la respuesta final. También hay que controlar los permisos, las herramientas, la memoria y cada transición entre una acción y la siguiente.
Qué hace autónomo a un agente de IA
Un agente autónomo es un modelo de lenguaje conectado a herramientas que opera en un bucle para alcanzar una meta con una intervención humana limitada. Puede consultar datos, llamar a una API, trabajar con archivos o coordinarse con otros servicios, según los permisos que tenga.
En un chatbot convencional, el fallo más visible suele ser una respuesta incorrecta o engañosa. En un agente, el mismo error puede desencadenar una modificación de datos, una llamada a un servicio de pago, la creación de recursos o la exposición de información. La autonomía no convierte automáticamente al sistema en peligroso, pero sí amplía las consecuencias de una decisión equivocada.
Los principales puntos de entrada del ataque
Inyección indirecta de instrucciones
La inyección indirecta aparece cuando un agente procesa un documento, una página web, un correo u otro contenido externo que contiene instrucciones maliciosas. El sistema puede confundir esos datos con órdenes legítimas y desviarse de la tarea original. El problema no está únicamente en el mensaje que recibe el usuario: también en todo lo que el agente recupera durante su trabajo.
Objetivos secuestrados y herramientas mal utilizadas
OWASP incluye el secuestro del objetivo entre los riesgos principales de las aplicaciones agentic. Una instrucción hostil puede redirigir al agente, mientras que una herramienta confiable puede utilizarse de forma insegura o fuera de su propósito. Si el sistema puede modificar registros, ejecutar código o enviar información, la validación de cada llamada resulta tan importante como la calidad del modelo.
Permisos excesivos
Un agente con más permisos de los necesarios puede leer o modificar información que no necesita para completar su tarea. El riesgo aumenta cuando ejecuta código de terceros, trabaja con credenciales del usuario o se instala en un equipo con acceso amplio al sistema.
En el caso de un agente alojado localmente, el alcance de una intrusión puede coincidir con los privilegios de la cuenta que lo ejecuta. Eso puede poner en riesgo archivos, claves y otros recursos accesibles desde ese perfil. La regla es poco glamourosa, pero decisiva: si el agente solo necesita consultar un servicio, no debería poder administrar toda la máquina.
Memoria envenenada y contaminación del contexto
La memoria persistente permite que un agente conserve información entre sesiones mediante archivos, bases de datos o sistemas de recuperación. Si un atacante altera esos datos, puede influir en decisiones posteriores y mantener su control durante más tiempo.
La contaminación también puede producirse dentro del contexto actual: información residual o recuperada de una fuente externa puede orientar una acción posterior en la dirección equivocada. El agente no necesita “decidir rebelarse” para causar problemas; basta con que trate una entrada manipulada como una instrucción válida.
Fallos en cadena y gasto descontrolado
Los bucles autónomos pueden repetir llamadas a APIs de pago, crear recursos o encadenar operaciones a gran velocidad. Un error que en una respuesta manual quedaría aislado puede multiplicarse cuando el sistema sigue actuando sin una pausa efectiva. OWASP también contempla la comunicación insegura entre agentes, las vulnerabilidades de la cadena de suministro, la ejecución inesperada de código y los agentes que se desvían de su comportamiento previsto.
La lista de riesgos de OWASP no habla solo de “alucinaciones”
El marco de OWASP para aplicaciones agentic de 2026 agrupa diez riesgos: secuestro de objetivos, uso indebido de herramientas, abuso de identidad y privilegios, vulnerabilidades de la cadena de suministro, ejecución inesperada de código, envenenamiento de memoria, comunicación insegura entre agentes, fallos en cascada, explotación de la confianza humana y agentes fuera de control.
La lista importa porque desplaza la conversación desde el miedo abstracto hacia componentes concretos. Un agente puede fallar por el contenido que lee, por el código que ejecuta, por la identidad con la que accede a un servicio, por la memoria que conserva o por la ausencia de una persona capaz de detenerlo.
Qué controles reducen el riesgo
Microsoft plantea una defensa por capas que empieza antes de que el agente ejecute su primera acción:
- Privilegios mínimos: conceder solo los accesos imprescindibles para la tarea.
- Identidad auditable: asignar a cada agente una identidad propia que permita rastrear sus operaciones.
- Separación entre datos e instrucciones: tratar el contenido recuperado como información, no como órdenes autorizadas.
- Validación determinista: comprobar de forma explícita la herramienta, los parámetros y el destino de cada llamada.
- Aislamiento: ejecutar el agente en un entorno limitado cuando maneje código o datos no confiables.
- Supervisión y registros: conservar planes, acciones y resultados para detectar desviaciones.
- Aprobación humana: exigir autorización antes de operaciones de alto impacto o difíciles de revertir.
- Pausa y apagado: disponer de mecanismos de nivel de sistema que interrumpan la actividad sin depender del propio agente.
La aprobación humana no debería ser un botón decorativo al final del proceso. Tiene que aparecer justo antes de las acciones que pueden cambiar datos, mover dinero, alterar infraestructura o afectar a otras personas. Del mismo modo, registrar lo ocurrido sirve de poco si nadie recibe una alerta ni tiene autoridad para intervenir.
La cuestión decisiva, por tanto, no es si un agente puede completar una tarea en condiciones ideales. Es qué permisos conserva, qué contenido puede influir en él y quién puede detenerlo cuando el siguiente paso deja de ser aceptable.
