El problema del agente de terceros: por qué la seguridad diseñada para IA que eligió el usuario falla con los agentes que no eligió
13 de octubre de 2026 · 5 min de lectura
En entornos estudiados para el informe State of Agent Security 2026, aproximadamente 1.280 productos de terceros ahora integran IA. Alrededor de 282 de ellos se sitúan detrás de un inicio de sesión único. Los mil restantes son invisibles a la infraestructura de identidad por defecto, no porque alguien los ocultó, sino porque una pila de identidad solo puede gobernar lo que autentica a través de ella, y la mayoría de los agentes nunca lo hacen.
Esa brecha es la expresión más clara de un cambio que la industria de la seguridad apenas está empezando a nombrar. Durante varios años, la "seguridad de IA" resolvió un problema de primera parte: la empresa decidió usar IA, adquirió licencias, desplegó un modelo detrás de una puerta de enlace y la seguridad apuntó controles al elemento que el negocio había elegido. Los agentes no llegan de esa manera. Llegan dentro del software que la empresa ya ejecuta, y llegan sin una decisión.
Por qué el punto de decisión importó más que los controles
Cada control en el kit de primera parte asume que existe un momento: el escaneo de modelos asume que se seleccionó un modelo, la inspección de prompts asume que se desplegó una puerta de enlace, una política de uso aceptable asume que hubo una adopción a aceptar. Ese momento dio a la seguridad una revisión, una superficie para instrumentar y un dueño para nombrar.
Los agentes saltan el momento. El lanzamiento de Salesforce's Slack Code en agosto de 2026 permite a un usuario etiquetar un agente de codificación en cualquier conversación; el agente lee el contexto compartido, escribe el código y abre la solicitud de extracción. El anuncio promete a los agentes "heredar el modelo de seguridad integrado de Slack, permisos y controles de administrador desde el primer día, sin ningún esfuerzo adicional de TI". Leído por un equipo de seguridad, esa frase describe un actor autónomo con acceso a GitHub e infraestructura de producción cuya gobernanza es la membresía del canal de una herramienta de chat. No había nada que instrumentar, porque nada fue adoptado.
Tres vectores de lanzamiento, un destino
Los líderes de seguridad tienden a clasificar los agentes en dos cubos: comprados y construidos. Existe un tercero, y es el más grande. Los agentes heredados se envían dentro de plataformas existentes mediante actualizaciones de producto. Los agentes configurados son los propios prompts y lógica de una empresa que se ejecutan en el tiempo de ejecución, modelo y conectores de otro. Los agentes construidos son marcos abiertos en infraestructura que la empresa posee de extremo a extremo. Los primeros dos representan la mayoría abrumadora de la adopción y están creciendo exponencialmente a medida que cada aplicación importante se convierte en una plataforma de agentes. El tercero es el más pequeño y de crecimiento más lento, y es el único que tiene un repositorio para escanear y una compilación para gatear.
El destino es el mismo independientemente del origen. Un agente nacido en un CRM termina leyendo un almacén de datos y escribiendo en un sistema de tickets. Un agente ensamblado en una plataforma cloud termina manteniendo tokens hacia Salesforce, Slack y Drive. La capa de aplicaciones empresariales es donde se ejecutan todos, y no tiene bordes fijos.
Cuatro preguntas que funcionan con cualquier agente
Cada agente tiene dos partes: el modelo que razona y el andamiaje que lo rodea que convierte un modelo en actor, decidiendo a qué está cableado, qué puede llamar y cuándo actúa. Casi ninguno de los riesgos reside en el modelo. Reside en el andamiaje y en el ecosistema en el que este se sitúa. Cuatro preguntas lo cubren, y ninguna de ellas pregunta qué haría el modelo por sí mismo.
Qué se ve en la práctica
¿El agente está registrado en algún lugar? ¿Un humano con nombre levanta la mano cuando se le pregunta "¿de quién es este?" ¿O se ejecuta silenciosamente como quien lo construyó?
¿Qué está permitido hacer, y es más de lo necesario? ¿De qué scopes OAuth y roles heredó al crearse, y alguien decidió eso a propósito?
¿Qué puede alcanzar, directamente y transitivamente, a través de los productos, concesiones, almacenes de datos y otros agentes a los que toca? Esta es la pregunta de radio de explosión, y rara vez es respondible desde la pantalla de configuración del agente.
¿Qué está haciendo realmente, y es normal para lo que es? Juzgado por comportamiento, no por la descripción en su prompt.
La fila de Conectividad es donde la seguridad de agentes se separa de todo lo que ya vende el mercado. Un cuestionario para compradores, un filtro de prompts y un escáner de modelos evalúan un agente en aislamiento. El alcance es una propiedad del entorno.
Los compradores con más influencia ya se han movido
Patrick Opet, director de seguridad global de JPMorgan Chase, le dijo a la industria de software en 2025 que la cadena de suministro de terceros se había convertido en un riesgo sistémico, citando incidentes lo suficientemente serios como para que el banco tuviera que aislar a proveedores comprometidos en una carta abierta a la industria. Desde entonces ha aplicado la misma escrutinio a los agentes: idealmente, un agente obtiene una identidad pero sin permisos por defecto, y TI confirma quién actúa en su nombre antes de que toque algo fuera de ese límite. Cuando un comprador de ese tamaño nombra a los agentes como riesgo de cadena de suministro, la pregunta aparece en los cuestionarios de seguridad de todos los demás dentro de unos pocos trimestres.
Los reguladores se mueven en la misma suposición. Las obligaciones del EU AI Act que se activan a través de 2026 suponen que una empresa puede inventariar sus sistemas de IA, nombrar sus dueños y evidenciar la supervisión. Una organización que no pueda enumerar sus agentes no podrá cumplir.
Qué parece un capacidad de pie
El enfoque que mantiene el ritmo con cincuenta agentes mediante hojas de cálculo y revisiones trimestrales colapsa a los quinientos, y quinientos está a un actualización de producto de los cinco mil. Lo que lo reemplaza es una respuesta en vivo, actualizada continuamente, sobre qué está operando, qué heredó cada agente, qué puede alcanzar directamente y a través de cadenas, qué está haciendo y cómo todo eso cambió desde ayer.
Algunas plataformas ahora están construidas alrededor de exactamente ese mapa. Un ejemplo líder es Reco, cuyo Reco Graph conecta cada identidad humana y no humana, aplicación, permiso y acción de agente en una sola vista en vivo para que el alcance, no la configuración, sea la unidad de análisis.