Seguridad de agentes de IA: dónde encaja en la pila

¿Qué es la seguridad de agentes de IA?

La seguridad de agentes de IA es el conjunto de controles que limita a qué puede acceder y qué puede hacer un agente de IA, y que lo detiene cuando es secuestrado. Cubre el modelo, las herramientas y los servidores MCP que invoca el agente, la identidad bajo la que actúa y el host en el que se ejecuta.

La Campaign C0062 de MITRE ATT&CK documenta a un probable actor de espionaje vinculado a China que utiliza agentes Claude Code y herramientas MCP para reconocimiento, explotación, recolección de credenciales y exfiltración contra unas 30 organizaciones, con mínima participación humana. Si sus desarrolladores ejecutan agentes de codificación o sus equipos conectan agentes a Salesforce, estos controles determinan hasta dónde llega un agente secuestrado. Si los implementa correctamente, se quedará sin margen rápidamente.

¿Cuáles son los principales riesgos de seguridad de los agentes de IA?

Los principales riesgos de seguridad de los agentes de IA son el secuestro de objetivos, el uso indebido de herramientas, el abuso de identidad y privilegios, compromiso de la cadena de suministro, y los agentes maliciosos, todas entradas del OWASP Top 10 para aplicaciones agénticas 2026.

EchoLeak (ASI01) muestra el secuestro de objetivos sin un solo clic: el registro de la National Vulnerability Database (NVD) para CVE-2025-32711 describe una inyección de comandos de IA que permitió a un atacante no autorizado divulgar información de un asistente de IA empresarial a través de una red, sin requerir interacción del usuario. El asistente contenía datos privados, leía contenido no confiable y podía enviar datos hacia el exterior. Si se elimina cualquiera de esas capacidades, la vía de exfiltración se cierra.

En la brecha de Salesloft Drift, un ejemplo de abuso de identidad y privilegios (ASI03) a escala, el FBI informó que UNC6395 utilizó tokens OAuth comprometidos para la aplicación Salesloft Drift application para acceder a las instancias de Salesforce de las víctimas y exfiltrar datos. La Financial Industry Regulatory Authority (FINRA) confirmó que la brecha afectó a más de 700 organizaciones, y los tokens robados permitieron a los atacantes suplantar a Drift dentro de Salesforce y Google Workspace.

Cualquier agente que tenga tokens OAuth para aplicaciones SaaS enfrenta la misma exposición, porque los atacantes utilizaron tokens robados, no prompt injection. Esa distinción determina en qué parte de la pila de seguridad de agentes de IA se colocan controles aplicables.

¿Dónde debe ubicarse la seguridad en la pila de agentes de IA?

La seguridad pertenece a dos tipos de controles en toda la pila de seguridad de agentes de IA: los controles de comportamiento moldean lo que su agente intenta hacer, mientras que los controles de infraestructura hacen cumplir lo que puede hacer. Construya la capa de infraestructura como el límite que se mantiene cuando falla la orientación de comportamiento.

La regla es la misma en cada capa: el control tiene que residir en algún lugar al que el agente no pueda acceder ni reescribir, incluso con sus propias credenciales.

La publicación de NIST sobre identidad agéntica explica por qué una sola capa no puede soportar la carga. Las barreras de protección basadas solo en el modelo aún no están preparadas para los desafíos de seguridad agéntica, y un agente que persigue un objetivo puede explorar múltiples rutas, llegar a herramientas o datos inesperados, o encontrar credenciales huérfanas para escalar privilegios.

Los controles de comportamiento guían lo que un agente intenta hacer

Los controles de comportamiento reducen la frecuencia con la que su agente intenta hacer algo dañino. Las opciones incluyen prompts del sistema reforzados, filtrado de inyección de prompts en el límite de ingestión, compuertas de aprobación para acciones de alto impacto y una política de gobernanza escrita. No pueden garantizar un comportamiento seguro porque el modelo lee instrucciones y datos como un único flujo de tokens. 

La investigación OpenClaw de MITRE ATLAS muestra el costo de una compuerta ausente: las operaciones destructivas, incluido el uso de credenciales y la transmisión externa de datos, no requirieron aprobación incluso cuando una memoria antigua y no confiable influyó en el agente. Mantenga la aprobación humana para esas acciones, pero vincule la identidad del aprobador con la del agente, un problema abierto que el documento conceptual del National Cybersecurity Center of Excellence (NCCoE) plantea.

Los controles de infraestructura deciden lo que un agente puede hacer

Los controles de infraestructura establecen el alcance real del agente en toda la pila de infraestructura de agentes de IA. Dé a cada agente una identidad no humana única con credenciales de alcance limitado y de corta duración. Restrínjalo a herramientas y API incluidas en una allowlist. Confínelo a una ejecución en sandbox con red saliente denegada por defecto. Exija que los servidores MCP validen la audiencia del token y mantenga registros de acciones firmados y vinculados a la identidad. Incluso un agente completamente secuestrado no puede exceder estos límites.

El borrador del Cyber AI Profile de NIST, NIST IR 8596, da a su equipo la regla de identidad: “Asigne a cada agente de IA una identidad y credenciales únicas y trátelos con las mismas precauciones de seguridad que a los usuarios privilegiados.” NIST IR 8587 aplica su guía de protección de tokens siempre que los agentes usen tokens firmados para acceder a sistemas, datos, herramientas o API.

En la capa de herramientas, la seguridad de MCP comienza con la especificación de autorización de MCP, que exige que cada servidor MCP valide que los tokens de acceso se emitieron específicamente para él como audiencia prevista. Omitir esa comprobación expone al servidor a los ataques de confused deputy que cubren los requisitos de seguridad de la especificación.

Las compuertas de aprobación necesitan la misma protección contra la manipulación: en CVE-2026-25253, documentado en la investigación OpenClaw, una falsificación de solicitud entre sitios contra la puerta de enlace local del agente provocó un cambio de configuración que deshabilitó la confirmación del usuario. Las compuertas de aprobación cuentan como infraestructura solo cuando el agente, y cualquiera que lo secuestre, no puede alcanzar el interruptor. Asigne estos límites a su arquitectura de agentes de IA antes de decidir cómo proteger individualmente a los agentes de IA. Cada agente hereda el límite más débil entre las capas que toca.

¿Cómo protege a los agentes de IA?

Proteja a sus agentes de IA inventariándolos, definiendo el alcance de cada identidad, incluyendo en una allowlist herramientas, aislando la ejecución en sandbox, registrando acciones y estableciendo compuertas para pasos irreversibles. Estas mejores prácticas de seguridad para agentes de IA se alinean con la guía de mayo de 2026 de CISA, redactada con el Australian Cyber Security Centre (ACSC) del Australian Signals Directorate (ASD) y socios internacionales: “Comience con casos de uso de IA agéntica de bajo riesgo y no sensibles” y “Evite otorgar acceso amplio o sin restricciones, especialmente a datos sensibles o sistemas críticos.”

1. Inventarie e identifique: Comience con el descubrimiento, porque los agentes implementados localmente o fuera de la revisión de TI rara vez aparecen en un repositorio central de identidades. Incluya estaciones de trabajo de desarrolladores cuyos archivos de configuración de MCP otorguen acceso a servicios internos, luego aprovisione una identidad por agente con tokens de corta duración y alcance limitado.
2. Restrinja la ejecución: Incluya en una allowlist las herramientas y API necesarias, elimine capacidades innecesarias antes de producción, aísle la ejecución en sandbox, deniegue por defecto el tráfico saliente e inyecte credenciales solo para la sesión.
3. Registre y controle las acciones: Active registros firmados y vinculados a la identidad de prompts, contexto recuperado, llamadas a herramientas y salidas antes de conceder acceso de escritura. Exija confirmación explícita para acciones destructivas o irreversibles y use eliminaciones por etapas o reversibles.
4. Reproduzca antes de ampliar el alcance: Vuelva a ejecutar las acciones registradas en un clon aislado de producción y eleve la autoridad de un agente solo después de que los tres primeros pasos estén implementados y la reproducción permanezca dentro de los límites del radio de impacto.

No todos los agentes necesitan estos controles con la máxima intensidad. La profundidad adecuada depende de la autoridad que tenga cada agente.

Ajuste los controles a la autoridad de cada agente

Haga coincidir la profundidad del control con la autoridad que conlleva cada clase de acción. La Agentic AI Security Scoping Matrix de AWS, tal como la Cloud Security Alliance (CSA) la amplió en diciembre de 2025, clasifica a los agentes por capacidad de acción y autonomía.

La extensión de CSA puntúa cada agente según el nivel de permisos y la exposición al riesgo, desde solo lectura y bajo riesgo hasta lectura-escritura y alto riesgo. Un agente de solo lectura que actúa por sí solo conlleva riesgos distintos a los de un agente con capacidad de escritura que requiere aprobación. 

Aplique el modelo por clase de acción en toda su arquitectura de agentes de IA, de modo que un agente pueda leer registros de forma independiente y que toda acción de escribir, enviar, gastar o eliminar espere a una persona. La contención depende de saber exactamente a qué podría acceder un agente comprometido, así que registre ahora el alcance de cada agente.

¿Cómo encontrar y contener un agente de IA comprometido?

Encuentre agentes comprometidos mediante indicadores semánticos, de infraestructura y de identidad, y luego conténgalos en un orden que preserve la evidencia. Destruir el pod antes de capturarlo hace perder el resto de la cadena.

Los indicadores semánticos incluyen discrepancias entre la solicitud original y los parámetros de la llamada a la herramienta o entre una llamada a la herramienta declarada y lo que se ejecutó. Una tarea de resumen que termina en una llamada saliente es otro indicador. Los indicadores de infraestructura provienen de la pila de infraestructura del agente de IA: un contenedor de inferencia que genera un shell, instala un paquete, escribe en rutas no familiares o abre conexiones salientes inesperadas. Los indicadores de identidad incluyen credenciales emitidas fuera del linaje aprobado, llamadas bloqueadas reintentadas a través de otro conector, registro deshabilitado o aprobaciones que llegan en bloque.

Una vez que se active un indicador, ejecute las fases de respuesta a incidentes en este orden:

1. Congelar y capturar: Revoque los permisos del agente y detenga la ejecución al mismo tiempo. Antes del desmantelamiento, capture el historial de prompts con marcas de tiempo, el contexto recuperado con procedencia, la secuencia de llamadas a herramientas, las suposiciones de identidad, las invocaciones de agentes descendentes y el rastro de salida del modelo de lenguaje grande (LLM). Mantenga en ejecución la captura a nivel de kernel.
2. Revocar y aislar: Revoque tokens, claves de API y certificados para toda la identidad, porque las sesiones concurrentes y las conexiones MCP necesitan un corte simultáneo. Aísle el host, contenedor o carga de trabajo y delimite el radio de impacto mediante el grafo de identidad. 
3. Poner en cuarentena la confianza: Elimine el acceso del agente a herramientas y protocolos mientras preserva el registro de identidad. Notifique a los sistemas descendentes que mantienen relaciones de confianza con él.
4. Erradicar y volver a aprovisionar: Restaure versiones y configuraciones del modelo conocidas como buenas, corrija el límite que falló y emita nuevas credenciales solo después de verificar que el entorno está limpio. Exija validación humana para los casos de alta gravedad.

Ensaye la contención antes de necesitarla: la guía de emergencia de la CSA CISO Community recomienda ejercicios de mesa sobre IA agéntica, incluido un agente malicioso que ataca a un tercero. Asigne cada paso a uno de los marcos siguientes para que un incidente de agente se gestione siempre de la misma manera.

¿Qué marcos de seguridad para agentes de IA se aplican?

Haga coincidir cada marco con la pregunta que responde: el OWASP Top 10 for Agentic Applications 2026 nombra lo que puede salir mal, MITRE ATLAS muestra cómo lo hacen los atacantes, CSA MAESTRO estructura el modelo de amenazas, NIST IR 8596 e IR 8587 establecen reglas de identidad y tokens, y la guía de mayo de 2026 de CISA delimita el riesgo de adopción. Para proteger la IA agéntica dentro de un programa de cumplimiento, ISO/IEC 42001 y la Ley de IA de la UE proporcionan la estructura de gobernanza.

OWASP Top 10 for Agentic Applications y Agent Control Standard

El OWASP Top 10 for Agentic Applications 2026, publicado el 9 de diciembre de 2025, ofrece a los equipos de ingeniería de seguridad y de plataformas de IA un vocabulario compartido para los diez riesgos de agentes descritos anteriormente, desde el secuestro de objetivos hasta los agentes maliciosos. En septiembre de 2026, el OWASP GenAI Security Project añadió el Agent Control Standard, que amplía esa guía hacia la aplicación de controles en tiempo de ejecución.

MITRE ATLAS

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) es la base de conocimiento de tácticas, técnicas y estudios de caso de adversarios contra sistemas de IA, estructurada como ATT&CK y que ahora cubre técnicas específicas de agentes, como el envenenamiento del contexto de agentes de IA y la recolección de credenciales mediante herramientas de agentes. Los equipos de threat hunting la usan para asignar incidentes de agentes a técnicas con nombre. MITRE publica versiones mensuales de contenido, y v2026.09 es la vigente a septiembre de 2026.

CSA MAESTRO y la AI Controls Matrix

Publicado por Cloud Security Alliance el 6 de febrero de 2025, CSA MAESTRO es un marco de modelado de amenazas creado para la IA agéntica que divide un sistema de agentes en siete capas, desde los modelos fundacionales hasta el ecosistema de agentes. Los arquitectos de seguridad lo combinan con la AI Controls Matrix v1.1, publicada el 22 de junio de 2026, y sus 247 objetivos de control en 18 dominios para el mapeo de gobernanza, riesgo y cumplimiento (GRC).

NIST IR 8596 y IR 8587

La guía de NIST sobre agentes se centra en la identidad y los tokens, y los dos documentos están en distintas etapas. IR 8596, el Perfil de IA Cibernética detrás de la regla de identidad anterior, sigue siendo un borrador preliminar inicial de diciembre de 2025. IR 8587 sobre protección de tokens pasó a ser final en septiembre de 2026. El NCCoE ha propuesto un proyecto de identidad y autorización de agentes que aplica IR 8587 junto con NIST SP 800-207 y SP 800-63-4.

Guía de CISA sobre IA agéntica

La guía Careful Adoption of Agentic Artificial Intelligence (AI) Services de CISA, publicada el 1 de mayo de 2026 con ACSC de ASD y otros socios, ofrece a desarrolladores, proveedores y operadores prácticas recomendadas para adoptar sistemas agénticos. Identifica la expansión gradual de privilegios, la desalineación del comportamiento y los registros de eventos poco claros como los riesgos que añaden los sistemas agénticos, y pide a las organizaciones que tengan en cuenta la IA agéntica en su modelo de seguridad y postura de riesgo.

ISO/IEC 42001

ISO/IEC 42001 es una norma certificable para sistemas de gestión de IA, publicada por primera vez en diciembre de 2023, que proporciona a los equipos de GRC y a los CISO la estructura de gobernanza dentro de la cual opera un programa de agentes. No contiene controles específicos para agentes, así que combínela con uno de los marcos técnicos anteriores.

Ley de IA de la UE

La Ley de IA de la UE, Reglamento (UE) 2024/1689, es obligatoria para proveedores e implementadores de sistemas de IA dentro de su ámbito, pero no define ninguna categoría de agente de IA. Un agente queda comprendido en la Ley como un sistema de IA. El Digital Omnibus de 2026 trasladó las obligaciones de alto riesgo para los sistemas independientes al 2 de diciembre de 2027. Elija un marco de seguridad para agentes de IA como línea base de sus controles, asigne sobre él las obligaciones de la Ley y conecte ambos con herramientas que gobiernen prompts, identidades, activos en la nube, investigaciones y respuesta.

Proteja los agentes de IA con SentinelOne

Los agentes actúan a velocidad de máquina. Los controles a su alrededor tienen que seguir el ritmo, desde un lugar al que el agente no pueda llegar. SentinelOne Prompt Security gobierna agentes, servidores MCP y prompts, mientras que Singularity™ Identity detiene el robo de credenciales y la escalada de privilegios en tiempo de ejecución. Singularity Endpoint protege los hosts en los que se ejecutan los agentes, y Purple AI con Singularity Hyperautomation acelera la investigación y la respuesta.

Prompt Security encuentra cada agente de IA y servidor MCP en su entorno mediante un MCP Gateway, una extensión del navegador, plugins de seguridad e integraciones de API, y luego asigna cada conector, herramienta y plugin con el que interactúa cada agente. Puntúa cada agente y servidor MCP según el riesgo, protege contra intentos de jailbreak, aplica políticas sobre a qué pueden acceder y qué pueden hacer los agentes, y mantiene un registro con capacidad de búsqueda y marca de tiempo de cada sesión, acción y herramienta. Singularity Identity bloquea el movimiento lateral, automatiza la remediación que deshabilita identidades comprometidas y analiza continuamente credenciales débiles, expuestas o comprometidas en Active Directory y proveedores de identidad en la nube, incluidos Entra ID, Okta, Ping, Duo y SecureAuth.

Singularity Endpoint aplica Behavioral AI en las estaciones de trabajo y cargas de trabajo en la nube donde se ejecutan agentes de escritorio y de codificación. Detiene malware fileless, ataques a la cadena de suministro y exploits de día cero en tiempo real, en línea o sin conexión. Puede contener de forma autónoma un host comprometido, sin esperar un paso manual de aislamiento, y la reversión con 1-Click revierte cambios no autorizados. AI Security Posture Management en Singularity Cloud Security descubre canalizaciones y modelos de IA en cuentas en la nube.

Purple AI™ Agentic Investigation ejecuta el análisis de alertas, muestra la evidencia y le dice a su centro de operaciones de seguridad (SOC) qué hacer a continuación. El estudio Business Value de IDC concluyó que los clientes identificaron amenazas un 63% más rápido y las remediaron un 55% más rápido. Singularity Hyperautomation, integrado en la Singularity Platform, ejecuta flujos de trabajo de respuesta sin código, incluidos los pasos de contención anteriores.

Solicite una demo de SentinelOne para ver cómo su equipo puede dar a cada agente de IA un límite que no pueda cruzar.

Ciberseguridad impulsada por la IA

Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.

Demostración

Conclusión

Cada control de seguridad para agentes de IA sigue una regla: tiene que residir en algún lugar al que el agente no pueda llegar ni reescribir, incluso con sus propias credenciales. Los controles de comportamiento reducen la frecuencia con la que un agente intenta hacer algo dañino. Los controles de infraestructura establecen el límite estricto de lo que un agente secuestrado puede hacer. Empiece por el inventario, porque no puede delimitar, restringir ni contener a un agente cuya existencia desconoce.

A partir de ahí, haga coincidir los controles de cada agente con la autoridad que tiene, registre su alcance antes de que alguna vez necesite contenerlo y ensaye la respuesta antes de que un incidente lo obligue. Los marcos ya identifican los riesgos, y los controles que los contienen ya existen. Establezca los límites ahora, y un agente comprometido se topará con límites que su equipo definió de antemano.