Agentes de IA en ciberseguridad: de copiloto a agente autónomo

• ¿Qué cambia cuando una IA puede actuar por sí misma?
• Cómo pueden utilizarse los agentes de IA en un ciberataque
• Los agentes de IA también crean una nueva superficie de ataque
• Más  El incidente de Hugging Face: cuando los agentes salen del entorno previsto
• Cómo utilizar agentes de IA de forma segura en una empresa
• El nuevo reto: controlar qué puede hacer una IA autorizada

Los agentes de IA en ciberseguridad están cambiando una frontera importante: la inteligencia artificial ya no se limita a analizar información o generar una respuesta, sino que puede utilizar herramientas, consultar sistemas y ejecutar acciones para alcanzar un objetivo.

Durante años, gran parte del uso de la inteligencia artificial en ciberseguridad se ha centrado en la defensa: detectar anomalías, analizar alertas, acelerar la respuesta ante incidentes, etc. Actualmente, también está siendo utilizada para facilitar actividades maliciosas, como tareas de reconocimiento, phishing o desarrollo de malware, entre muchas otras.

¿QUÉ CAMBIA CUANDO LA IA PUEDE ACTUAR POR SI MISMA?

En este contexto, son especialmente relevantes los agentes de IA. La diferencia fundamental no está en que exista o no una interfaz de chat, sino en su capacidad para actuar. Un agente recibe un objetivo y a partir de él puede planificar los pasos que debe realizar, consultar información de diversas fuentes y utilizar diferentes herramientas. Estos sistemas pueden interactuar con servicios y datos reales. Cuanto mayor sea su capacidad de actuar, mayor importancia tienen los controles y la supervisión sobre ellos.

El grado de autonomía de los agentes introduce uno de los principales cambios, ya que no sólo pueden ayudar a un atacante, sino que pueden encargarse de procesos que antes requerían una intervención humana continua. Un ataque convencional requiere investigar el objetivo y analizar información para decidir qué hacer después. Un agente puede realizar parte de ese proceso automáticamente.

CÓMO PUEDEN UTILIZARSE LOS AGENTES IA EN UN CIBERATAQUE

Esto no significa que la IA haya sustituido a los atacantes. Según Microsoft, la mayor parte del uso malicioso de IA sigue estando guiado por personas y el uso de agentes todavía no se produce a gran escala. Sin embargo, sí puede reducir la intervención humana y aumentar considerablemente la velocidad y la escala del ataque.

La ingeniería social es un buen ejemplo. Los modelos de lenguaje pueden generar mensajes más convincentes y adaptados al contexto de cada víctima o acelerar el análisis de información sobre una empresa. No tiene por qué ser un ataque autónomo, es suficiente con reducir el tiempo y el esfuerzo necesarios para realizarlo.

LOS AGENTES IA TAMBIÉN CREAN UNA NUEVA SUPERFICE DE ATAQUE

Además de poder ser utilizados como herramienta de ataque, los agentes introducen un segundo problema: ellos y los sistemas con los que se integran se convierten en una nueva superficie de ataque.

Un agente conectado al correo, a un CRM o a un repositorio de código puede tener permisos legítimos para consultar información y realizar determinadas acciones. Si sus permisos o su autonomía son demasiado amplios, una vulnerabilidad o una mala decisión del modelo pueden tener consecuencias importantes. OWASP con su Top 10 for Agentic Applications 2026 analiza los principales riesgos de seguridad asociados a estos sistemas.

EL INCIDENTE DE HIGGING FACE: CUANDO LOS AGENTES SALEN DEL ENTORNO PREVISTO

Hace apenas unas semanas se produjo un incidente de seguridad especialmente llamativo. En julio, Hugging Face informó de una intrusión en parte de su infraestructura. Según las investigaciones publicadas posteriormente por OpenAI y METR, el incidente no partió de un atacante humano que hubiera ordenado comprometer Hugging Face, sino de evaluaciones internas de ciberseguridad de OpenAI.

OpenAI confirmó que agentes dirigidos por modelos internos, con menos controles de seguridad que los desplegados externamente, fueron capaces de evadir los mecanismos de aislamiento y obtener acceso a Internet hasta alcanzar los sistemas de Hugging Face. Se estima que 1.200 agentes llegaron a comunicarse mediante un canal no autorizado y, de ellos, unos 700 participaron activamente en el ataque contra Hugging Face. Los agentes compartieron información, coordinaron actividades y aprovecharon los descubrimientos realizados por otros agentes para avanzar en sus acciones, aunque las acciones que terminaron realizando sobre sistemas de terceros no formaban parte del objetivo previsto.

Este ejemplo demuestra que el riesgo cambia cuando la salida del modelo deja de ser únicamente texto y pasa a convertirse en acciones sobre un sistema real.

CÓMO UTILIZAR AGENTES DE IA DE FORMA SEGURA EN UNA EMPRESA

¿Entonces las empresas deberían dejar de utilizar agentes de IA? No, pero sí deben controlar qué pueden hacer, con qué permisos y en qué condiciones.

Un agente debería disponer únicamente de las herramientas y privilegios que necesita. Hay que registrar sus acciones, limitar su acceso a sistemas sensibles, aplicar controles de autorización y exigir validación humana para operaciones de alto impacto.

El objetivo es reducir el radio de acción de un comportamiento incorrecto, inesperado o manipulado. Los permisos excesivos, la falta de supervisión y el acceso innecesario a recursos sensibles aparecen también entre los riesgos señalados actualmente para los sistemas agénticos.

EL NUEVO RETO: CONTROLAR QUÉ PUEDE HACER UNA IA AUTORIZADA

¿Entonces las empresas deberían dejar de utilizar agentes de IA? No, pero sí deben controlar qué pueden hacer, con qué permisos y en qué condiciones.

Un agente debería disponer únicamente de las herramientas y privilegios que necesita. Hay que registrar sus acciones, limitar su acceso a sistemas sensibles, aplicar controles de autorización y exigir validación humana para operaciones de alto impacto.

El objetivo es reducir el radio de acción de un comportamiento incorrecto, inesperado o manipulado. Los permisos excesivos, la falta de supervisión y el acceso innecesario a recursos sensibles aparecen también entre los riesgos señalados actualmente para los sistemas agénticos.