Los agentes de IA dejaron de ser asistentes que responden preguntas para convertirse en actores que ejecutan trabajo en nombre de usuarios. Meta lanzó Muse para que compre, reserve y gestione tareas en Shopify, QuickBooks y Slack. OpenAI presentó Dots, agentes persistentes que operan en segundo plano. Google acaba de sacar su agente de Workspace con Gemini. Microsoft tiene su "compañero digital" para empresas. El patrón es claro: la interfaz del futuro no es un chat, es una delegación.
Pero hay un problema que ninguna mejora de modelo resuelve. Amazon bloqueó a Muse para que no comprara en su sitio, argumentando que Meta no pactó el acceso y que el agente no se identificaba bien ni manejaba datos del cliente con garantías. Shopify, en cambio, se alió con Meta y permite compras vía Shop Pay. La misma capacidad técnica, dos respuestas opuestas. El cuello de botella ya no es qué tan listo es el agente, sino qué plataformas le abren la puerta.
La nueva superficie de ataque: el agente como deputy confundido
Un agente que redacta un párrafo necesita poco contexto. Uno que completa una tarea de una hora cruzando tres sistemas empresariales necesita acceso a datos, memoria de trabajo, entendimiento de procesos y permiso para actuar. OpenAI reportó en junio que más del 70 % de usuarios muestreados de Codex le pidieron tareas estimadas en más de una hora de trabajo humano. La delegación ya ocurre a escala.
Esa delegación crea una superficie de ataque distinta a la del software tradicional. Como describe el paper AgentGuardian de la Universidad Ben Gurion, el adversario no ataca al agente como componente de software; explota su acceso de confianza a herramientas externas —sistema de archivos, correo, APIs— y convierte capacidades legítimas en vectores. Un asistente personal con permiso para leer archivos y enviar mails puede exfiltrar datos si lo comprometen. Un agente de soporte TI con acceso a logs e instalación de drivers puede convertirse en ransomware.
Los guardrails tradicionales —filtros de prompt, listas de permitidos/denegados a nivel de texto— no alcanzan. Operan en la capa de contenido, no en la de ejecución.
De guardrails estáticos a grafos de flujo y ABAC consciente de persona
La respuesta técnica converge en tres direcciones que se refuerzan:
- Control de flujo basado en grafos (CFG). AgentGuardian aprende trayectorias de ejecución legítimas en una fase de "staging" y deriva políticas que restringen al agente a esos caminos validados. El grafo actúa como máquina de estados: si el agente intenta una secuencia no vista en staging, se bloquea. Esto también mitiga alucinaciones que generan invocaciones de herramientas repetidas o incorrectas.
- ABAC (control de acceso basado en atributos) en tiempo de ejecución. En lugar de roles fijos, se evalúan atributos contextuales: quién invoca, desde qué tenant, con qué intención, qué datos toca, qué cadena de delegación precede la acción. El paper de IEEE extiende OAuth 2.1 con claims verificables de persona, tenant y cadena de delegación, y reporta 2 ms de overhead de validación de token en prototipo multi-tenant.
- Políticas generadas y actualizables automáticamente. AgentGuardian generaliza entradas semánticamente relacionadas (p. ej., permite "ciudad" o "país" en lugar de enumerar destinos) y permite actualizar políticas cuando aparecen nuevas trayectorias legítimas. El objetivo: que el equipo de ingeniería no tenga que escribir reglas a mano para cada herramienta.
OpenAI, en su guía de seguridad para agentes empresariales, apunta en la misma lista de verificación: límites de acceso y acción, monitoreo, respuesta a incidentes. La industria está convergiendo en que identidad, permisos, memoria y contexto no son "features alrededor del modelo"; son lo que hace posible delegar trabajo a IA.
El dilema de dos caras para la empresa
Esta disputa Muse/Amazon/Shopify revela que las empresas enfrentan decisiones en ambos lados de la verja. Por un lado, cuánta autoridad y acceso otorgan a sus propios agentes. Por el otro, cuánto acceso conceden a los agentes de otros que llegan a sus sistemas. Durante décadas, el software empresarial dio herramientas que la gente opera. Los copilots de primera generación siguieron ese modelo. Los agentes persistentes rompen el contrato: el software ya no solo se opera, se le asigna trabajo y se le deja interactuar con otros sistemas en nombre del usuario.
Esa doble decisión —agentes propios y agentes ajenos— va a definir la arquitectura de seguridad de los próximos años. Gartner proyecta que para 2028 el 40 % de CIOs exigirá mecanismos dedicados de seguridad para agentes autónomos.
Lo que esto significa en América Latina
Para un CISO o CTO en México, Colombia, Brasil o Argentina, la discusión no es teórica. Tres factores locales amplifican el problema:
1. Regulación de datos y soberanía. LGPD en Brasil, leyes similares en México, Colombia, Argentina y Chile exigen trazabilidad de quién accede a datos personales y con qué finalidad. Un agente que salta entre SaaS multi-tenant (Salesforce, Slack, ERPs en AWS/Azure/GCP) y toma decisiones autónomas complica el cumplimiento. 2. Dependencia de nubes multi-tenant globales. La mayoría de empresas latinoamericanas corren sobre AWS, Azure o Google Cloud.
3. Costo de implementación y talento. Los frameworks como AgentGuardian requieren instrumentación en el código del agente, fase de staging, mantenimiento de grafos de flujo. Equipos de seguridad en la región ya están tensionados. La guía de OpenAI para CISOs es un punto de partida, pero la brecha entre "descargar checklist" y "tener CFG en producción con ABAC actualizable" se mide en meses de ingeniería y presupuesto.
Esa ventaja competitiva no estará en tener el agente más listo —todos accederán a modelos fundacionales similares—. Estará en quien resuelva la capa de confianza: identidades verificables, políticas de acceso que entiendan contexto y cadenas de delegación, y gobernanza auditable que satisfaga al regulador local y al socio comercial global. Amazon ya decidió que su puerta se abre solo con credenciales pactadas. Shopify eligió otra apuesta. Cada empresa latinoamericana tendrá que elegir la suya, y hacerlo antes de que un agente ajeno intente cruzar su umbral.
