OWASP · El riesgo cambia cuando la IA puede actuar

Entidad: OWASP GenAI Security Project
Referencias: Agentic Threats Navigator · 2025 y evolución posterior del marco de seguridad para aplicaciones agénticas

Un chatbot puede equivocarse en una respuesta.

Un agente puede equivocarse y además utilizar una herramienta, enviar información, modificar un sistema o actuar con una identidad que tiene permisos reales.

Ésa es la diferencia que OWASP ayuda a hacer visible.

Su trabajo sobre seguridad agéntica identifica superficies de ataque que no se limitan al modelo: razonamiento, memoria, herramientas, identidad, supervisión humana y relaciones entre distintos agentes.

Una mala respuesta y una mala acción no tienen el mismo coste

Si una IA nos da una explicación incorrecta y la detectamos, corregimos la conversación.

Si un agente interpreta mal una instrucción y utiliza una credencial con privilegios, el error puede propagarse al mundo real.

Puede leer algo que no debía, enviar datos, ejecutar código, modificar configuraciones o utilizar una herramienta de una manera que nadie había previsto.

Por eso la seguridad deja de concentrarse únicamente en «qué dice el modelo».

Hay que mirar también qué puede hacer, con qué herramientas y bajo qué identidad.

Los permisos convierten capacidad en riesgo

Una herramienta sin acceso puede ser poco útil.

Una herramienta con acceso puede hacer mucho más.

Ahí aparece una tensión estructural: para obtener valor de los agentes necesitamos abrirles puertas; cada puerta aumenta también la superficie que debemos gobernar.

Un agente que solo lee un documento tiene un riesgo. Uno que puede enviar correo, consultar bases de datos y ejecutar comandos tiene otro.

La autonomía no puede analizarse separada de los permisos.

La memoria también puede ser atacada

Los agentes necesitan conservar contexto para realizar tareas largas.

Pero si esa memoria puede contener información manipulada, instrucciones maliciosas o conclusiones equivocadas, un error puede sobrevivir y afectar a decisiones posteriores.

Eso crea un tipo de problema poco intuitivo: la misma memoria que hace al sistema más útil puede hacer persistente un ataque.

La seguridad tendrá que aprender a tratar no solo entradas y salidas, sino también lo que el agente recuerda y utiliza para decidir después.

Oportunidades que abre esta nueva superficie de riesgo

Cada nueva capacidad crea necesidad de protección.

Los profesionales de ciberseguridad pueden ampliar su trabajo hacia permisos de agentes, identidad, herramientas y comportamiento durante la ejecución.

Expertos en gestión de identidades pueden diseñar credenciales temporales y accesos mínimos para sistemas que actúan en nombre de personas o empresas.

Auditores pueden revisar qué acciones realizó un agente y si respetó sus límites.

Ingenieros pueden construir entornos aislados donde una herramienta pueda probarse sin alcanzar sistemas sensibles.

Profesionales de riesgo y seguros pueden crear criterios para valorar incidentes que no encajan exactamente en el software tradicional.

Y especialistas sectoriales pueden identificar qué acciones aparentemente inocuas tienen consecuencias graves en finanzas, salud, industria o servicios jurídicos.

Las profesiones existentes están más cerca de lo que parece

Un responsable de seguridad ya sabe pensar en mínimos privilegios.

Un auditor ya sabe trabajar con evidencia.

Un abogado ya sabe preguntar quién tenía autoridad y quién responde.

Un responsable de operaciones conoce qué excepciones pueden producir daño.

La oportunidad no exige convertir a todos en investigadores de IA.

Exige combinar esas capacidades con una comprensión suficiente de cómo los agentes utilizan memoria, herramientas e identidad.

El nuevo mercado de seguridad puede crecer al mismo ritmo que la autonomía

Si los agentes se extienden, la seguridad agéntica dejará de ser una especialidad exótica.

Habrá servicios de evaluación, monitorización, pruebas de ataque, control de permisos, gestión de identidad, análisis de incidentes y verificación de proveedores.

También habrá productos que todavía no están estabilizados como categoría.

La razón es sencilla: una empresa no podrá delegar tareas importantes a sistemas que no sabe limitar ni investigar cuando algo sale mal.

Qué nos dice esta pieza sobre Lo que viene

OWASP no demuestra que los agentes sean inseguros por definición.

Muestra que cuando la IA puede actuar, cambia la clase de seguridad que necesitamos.

Eso es una señal importante para el nuevo mercado.

A cada aumento de capacidad le acompaña una nueva demanda de límites, permisos, trazabilidad y respuesta ante incidentes.

La oportunidad no está solamente en hacer agentes más capaces.

Está en conseguir que podamos darles suficiente capacidad para ser útiles sin entregarles más poder del que sabemos gobernar.