Agentes de IA: qué son y cómo los usan empresas y atacantes

Durante los últimos años, la inteligencia artificial se ha dedicado principalmente a responder preguntas. Los agentes de IA son el siguiente paso: software capaz de hacer cosas.

Se les asigna un objetivo y determinan los pasos necesarios, utilizan otros programas para ejecutarlos y revisan su propio avance. Pueden encargarse de vaciar una bandeja de entrada, escribir y probar código o resolver la solicitud de un cliente.

Como pueden realizar tareas completas, en lugar de responder a instrucciones aisladas, los agentes se han convertido en una de las tendencias tecnológicas más comentadas. Las empresas ya les están dando acceso real a sistemas financieros, correos electrónicos y código interno.

Y ese acceso es precisamente lo que convierte a los agentes en un asunto de seguridad.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC), en colaboración con sus homólogos de Estados Unidos, Australia, Canadá y Nueva Zelanda, ha instado a las organizaciones a actuar con cautela.

Los atacantes también han tomado nota. Investigadores de la firma israelí Dream afirman que un grupo presuntamente vinculado con China utilizó agentes de IA gratuitos y de código abierto para ejecutar una intrusión de cuatro días contra sistemas del Gobierno de Taiwán, con hasta ocho agentes trabajando en paralelo.

¿Qué son los agentes de IA?

En términos técnicos, un agente de IA es un programa que utiliza un modelo de inteligencia artificial, normalmente un modelo extenso de lenguaje, para perseguir un objetivo con pocas instrucciones paso a paso.

Un chatbot responde una pregunta y espera la siguiente. A un agente se le asigna una tarea y la ejecuta: puede leer una bandeja de entrada, consultar una base de datos, ejecutar código o actualizar el registro de un cliente.

Esa capacidad de actuar, y no solo de conversar, explica la popularidad del término inteligencia artificial agéntica.

El NCSC describe estos sistemas como una combinación de modelos de lenguaje con herramientas externas, memoria, fuentes de datos y procesos automatizados. También señala que plantean un problema de seguridad distinto al de la IA generativa, porque toman acciones en vez de limitarse a producir resultados.

¿Cómo funcionan los agentes de IA?

La mayoría de los agentes tiene cuatro componentes.

El primero es el modelo, que se encarga del razonamiento: lee la solicitud, la divide en pasos y decide qué hacer a continuación.

El segundo es un conjunto de herramientas, es decir, conexiones con otros programas que permiten al agente buscar en internet, abrir archivos, ejecutar código o enviar mensajes.

El tercero es la memoria, que permite que el paso cinco se base en lo ocurrido en el paso dos.

El cuarto es el ciclo de trabajo.

El agente planifica, actúa, revisa el resultado y luego vuelve a actuar o informa de lo ocurrido. Repite el proceso hasta cumplir el objetivo o recibir una señal para detenerse. Algunos agentes trabajan en equipo y delegan partes de una tarea en otros.

Cada componente amplía sus capacidades, pero también abre una posibilidad adicional de ataque.

Cómo usan los atacantes los agentes de IA

La campaña contra Taiwán es hasta ahora el ejemplo público más detallado.

Según una información de Tom's Hardware, resumida por Slashdot, Dream encontró pruebas de la operación en un archivo en línea con 1.395 documentos, mientras rastreaba a actores de amenazas.

La operación duró cuatro días, identificó 21 sistemas gubernamentales y comprometió al menos 85 cuentas. Según los reportes, los atacantes robaron más de 2.500 registros de personal y posteriormente ampliaron su alcance a la agencia de seguridad nuclear de Taiwán, al menos siete empresas de energía y proveedores del Gobierno.

Lo que distinguió la operación fue la forma en que actuaron los agentes.

La herramienta evaluaba continuamente las pruebas, clasificaba las posibles rutas de ataque y volvía a clasificarlas cuando cambiaban las condiciones. Cuando una técnica fallaba, asignaba a otro agente la tarea de buscar una alternativa en internet. Hasta ocho agentes trabajaban en paralelo.

Hay dos detalles que merecen atención.

El primero es la manera en que los atacantes eludieron las salvaguardas del modelo: según los reportes, presentaron la intrusión como una prueba de penetración autorizada y no como un ataque real. Fue una sencilla maniobra de ingeniería social dirigida contra la propia IA.

El segundo es el conjunto de herramientas utilizado.

Ninguno de los dos sistemas de código abierto empleados, Hermes y OpenClaw, fue diseñado para operaciones ofensivas. Sin embargo, los responsables los combinaron para crear una herramienta de ataque capaz.

Los investigadores de Dream no pudieron determinar qué modelo de lenguaje impulsaba a los agentes y recalcan que los componentes están disponibles gratuitamente, por lo que otros podrían ensamblar algo similar.

La afirmación de que se trató del "primer" caso se presenta con cautela en los reportes, y conviene mantener esa prudencia. Pero la tendencia es clara: los agentes reducen el esfuerzo necesario para ejecutar una intrusión de varias etapas y lo hacen con componentes que no tienen costo.

Cómo usan las empresas los agentes de IA

Las empresas están poniendo a trabajar a los agentes de una manera muy similar.

Entre los usos más comunes están escribir y probar software, resolver solicitudes de clientes, solucionar fallas rutinarias de tecnología de la información, investigar y resumir información, y clasificar alertas de seguridad para los analistas humanos. El atractivo es evidente: realizar más rápido y a menor costo tareas rutinarias que requieren varios pasos.

La preocupación del NCSC, expuesta en unas orientaciones elaboradas con sus homólogos de Estados Unidos, Australia, Canadá y Nueva Zelanda y divulgadas en mayo de 2026, es el nivel de acceso que se les está otorgando a los agentes.

El organismo menciona organizaciones que han dado a los agentes acceso a sistemas financieros, correos electrónicos y repositorios internos de código.

Un agente diseñado para resolver problemas por sí solo también puede descargar paquetes, scripts o herramientas cuando no cuenta con una función integrada para completar una tarea. Cada una de esas decisiones amplía lo que podría hacer un agente comprometido.

Por qué la seguridad de los agentes de IA es diferente

Un chatbot engañado dice algo incorrecto. Un agente engañado hace algo incorrecto utilizando el acceso que tiene.

El NCSC enumera como principales riesgos la inyección de instrucciones, en la que indicaciones ocultas en un correo electrónico, una página web o un documento dirigen al agente, así como el uso indebido de privilegios, la suplantación de identidad y las fallas en cadena que se propagan por sistemas conectados.

Los agentes con privilegios excesivos son una preocupación particular, porque un atacante que tome el control de su identidad heredará todo el acceso que tienen.

El comportamiento de los agentes también puede ser difícil de predecir debido a los avances en el diseño de modelos y a las largas cadenas de razonamiento que atraviesan varios sistemas.

Expertos externos citados en la cobertura añaden otros elementos.

Rajeev Raghunarayan, de la firma de seguridad Averlon, sostiene que los agentes cambian el modelo de riesgo precisamente porque actúan. Por eso, las organizaciones deben preguntarse a qué pueden acceder y qué pueden hacer, qué datos pueden influir en su comportamiento y quién es responsable. También recalca que el acceso a internet, las conexiones mediante API y la ejecución de código son tan importantes como los permisos.

Steven Swift, de Suzu Labs, advierte que considerar confiable el resultado de un modelo es una falla común, ya que los agentes incorporan sus propios resultados en pasos posteriores. Además, señala que una instrucción de sistema cuidadosamente redactada no basta por sí sola como mecanismo de control.

Cómo usar agentes de IA de forma segura

El NCSC recomienda tratar la IA agéntica como parte de las prácticas existentes de ciberseguridad, no como un asunto separado, y aplicar principios ya establecidos.

El primero es el principio del menor privilegio: un agente solo debe tener el acceso que necesita para cumplir su tarea. El segundo es la defensa en profundidad, que parte de la premisa de que cualquier control individual puede fallar.

El organismo recomienda comenzar con usos de bajo riesgo, mantener una supervisión humana sólida y priorizar la resiliencia y la posibilidad de revertir las acciones por encima de las ganancias de eficiencia, hasta que maduren los estándares y las herramientas de seguridad. Su consejo resumido es "aprender a caminar antes de poder correr".

Swift añade una recomendación práctica: incorporar controles en las etapas intermedias y finales del trabajo de un agente, y darle al sistema una forma de detenerse cuando un control falle.

El caso de Taiwán muestra por qué esto es importante. Un agente que recibe instrucciones presentadas como una prueba legítima y continúa hasta alcanzar el éxito necesita límites que no dependan de que tome la decisión correcta.