Cuando trabajo en un incidente, la primera pregunta casi nunca es 'qué malware se ejecutó'. Es 'de quién eran las credenciales y a qué tenía acceso esa cuenta'. Nueve de cada diez veces, la parte interesante de la historia no es el exploit, sino el acceso. El exploit te abre la puerta; el privilegio te permite recorrer el edificio.

Durante treinta años, esa pregunta tenía una respuesta con forma humana. Una persona hizo clic en algo, fue víctima de phishing, reutilizó una contraseña, un administrador dejó una cuenta de servicio en un controlador de dominio con una contraseña de 2014. La identidad en el centro del incidente pertenecía a alguien con una credencial y un jefe. Esa suposición está muriendo silenciosamente, y la mayoría de las empresas no han ajustado sus controles para reflejarlo.

El actor en tu red ya no es una persona. Es una carga de trabajo, un script, un bot, un cliente de API y ahora un agente de IA que puede razonar, planificar y actuar por iniciativa propia. Estas identidades no humanas (NHI) ya superan en número a las humanas en la mayoría de los entornos, y la brecha se amplía. La industria finalmente está nombrando el problema en voz alta, y dos desarrollos en el verano de 2026 lo hicieron oficial.

El mercado y el gobierno aparecieron el mismo mes

En julio de 2026, el organismo de acreditación CREST lanzó su AI Charter, un compromiso voluntario respaldado por más de setenta empresas de ciberseguridad a nivel mundial, basado en nueve principios para el uso responsable de la IA. Aproximadamente una décima parte de los miembros globales de CREST se sumaron como firmantes fundadores. Lo interesante es lo que los firmantes acuerdan gobernar: responsabilidad, transparencia y un alcance claramente definido para lo que los sistemas habilitados con IA pueden hacer dentro del entorno del cliente. Eso es una pregunta de acceso disfrazada de gobernanza.

Días antes, el NCSC y el DSIT del Reino Unido publicaron el proyecto para Cyber Shield, un programa nacional para integrar la IA agéntica en la defensa cibernética a velocidad de máquina. La visión describe agentes 'rojos' y 'azules' que descubren vulnerabilidades y contienen amenazas en tiempo real, operando a través de límites organizativos. Una línea clave dice: estos agentes están 'habilitados por bases sólidas de datos, identidad, fiabilidad, ciberseguridad y cumplimiento normativo', y deben 'asegurar los medios para identificarse, confiar y comunicarse entre sí'. Un gobierno nacional, al establecer una capacidad ofensiva y defensiva de IA, puso la identidad y la confianza en la base de la pila. No el modelo. No el cómputo. La identidad.

Cuando le das a un agente autónomo la autoridad para hacer cambios en producción, la pregunta de seguridad deja de ser '¿es bueno el modelo?' y se convierte en '¿quién es esta cosa, qué se le permite hacer y cómo revocamos eso cuando se desvía?' La identidad es infraestructura. El privilegio es el riesgo.

Por qué los agentes rompen el modelo de privilegio que ya teníamos

Pasamos una década mejorando marginalmente la identidad humana: autenticación multifactor, acceso condicional, procesos de ciclo de vida y gobernanza que funcionan en su mayoría. Ninguna de esa maquinaria fue construida para un actor que se activa en milisegundos, se autentica con un secreto estático y puede generar otros actores para completar su tarea.

Considere cómo un agente obtiene realmente su acceso. Rara vez está detrás de un inicio de sesión humano con un segundo factor. Tiene una credencial: una clave API, un token OAuth, un certificado, un secreto extraído de un archivo de configuración o, peor, codificado en un repositorio. Esa credencial suele ser de larga duración, con alcance amplio y sin ciclo de vida. Nadie desvincula una cuenta de servicio cuando termina el proyecto. Nadie rota una clave porque un contratista se fue. La identidad simplemente persiste, con privilegios excesivos y olvidada, que es exactamente el perfil que busca un atacante.

Esto no es teoría. Cuando OWASP publicó su Top 10 de Identidades No Humanas en 2025, el riesgo número uno no era un ataque de envenenamiento de modelo exótico; era la desvinculación inadecuada. Le seguían la filtración de secretos y, más abajo, las NHI con privilegios excesivos y secretos de larga duración. Esos no son problemas de IA. Son problemas de higiene de privilegios que los agentes de IA heredan y amplifican, porque ahora la identidad descuidada puede pensar y actuar en lugar de estar inactiva.

Los datos de amenazas apuntan en la misma dirección. El informe de 2025 de Verizon sobre violaciones de datos encontró que las credenciales robadas fueron el vector de acceso inicial más común, presentes en aproximadamente una quinta parte de las violaciones, y que aparecieron en casi nueve de cada diez ataques básicos a aplicaciones web. Los atacantes no están principalmente rompiendo la autenticación. Están iniciando sesión. Cuando la credencial pertenece a una identidad no humana con privilegios permanentes y sin supervisión humana, ese inicio de sesión es más limpio, silencioso y difícil de atribuir que cualquier cosa que produzca un empleado víctima de phishing.

Ahora agregue comportamiento agéntico. Una cuenta de servicio tradicional hace una cosa predecible. Un agente de IA está diseñado para ser no determinista: el mismo prompt no siempre produce la misma secuencia de acciones. Descompone un objetivo, encadena acciones, llama a herramientas y se adapta. Dale privilegios permanentes amplios 'para que no se bloquee a mitad de tarea' (que es exactamente cómo se aprovisionan estas cosas bajo presión), y el resultado es un insider que nunca duerme, nunca cuestiona sus instrucciones y puede ser dirigido por cualquiera que comprometa sus entradas. La inyección de prompts no es una curiosidad de moderación de contenido. En un agente con permisos reales, es escalada de privilegios por otro nombre.

Cinco controles que realmente reducen el riesgo de los agentes de IA

Nada de esto significa que la IA agéntica sea demasiado peligrosa para implementar. Significa que el acceso debe diseñarse tan deliberadamente como la capacidad. La buena noticia es que las disciplinas que funcionan aquí no son nuevas. Son los fundamentos centrados en privilegios que hemos defendido durante años en el lado humano, aplicados a identidades que no tienen pulso.

  • Comience con el descubrimiento. No se puede gobernar lo que no se ve. La mayoría de las empresas no saben cuántas identidades no humanas existen en su entorno, quién las posee, a qué pueden acceder o qué secretos llevan. Ese inventario es poco glamoroso y es la base completa. Cada agente, cada cuenta de servicio, cada token necesita un propietario, un propósito y una fecha de caducidad.
  • Ataque los privilegios permanentes directamente. Lo más valioso que se puede quitar a un atacante es el acceso persistente y siempre activo a una identidad poderosa. Las identidades no humanas deben tener el mínimo privilegio necesario para la tarea en cuestión, y preferiblemente solo justo a tiempo en lugar de permanentemente. Las credenciales de corta duración y alcance limitado se emiten en el momento de necesidad y caducan inmediatamente después de que la ventana colapsa; un atacante tiene que trabajar con eso. Un token filtrado que murió hace noventa segundos no es una violación. Un token filtrado que vive un año es una campaña.
  • Elimine el secreto de larga duración dondequiera que la plataforma lo permita. Las claves estáticas enterradas en código y configuración son el diésel que mantiene estos incidentes en marcha. Rote lo que no pueda eliminar, almacene de forma segura lo que no pueda rotar y deje de tratar un secreto en un repositorio como un detalle de configuración en lugar de una granada activa.
  • Dé a los agentes una identidad real y validación continua. No una contraseña compartida en un archivo de texto. Si un agente va a actuar por sí mismo, necesita ser un principal distinto y atribuible cuya confianza se verifique continuamente contra su comportamiento, no concedida una vez en el aprovisionamiento y asumida para siempre. El proyecto Cyber Shield del NCSC entendió esto instintivamente cuando insistió en que sus agentes deben poder identificarse y confiar entre sí antes de cooperar. La confianza implícita es precisamente lo que la arquitectura de confianza cero moderna fue diseñada para eliminar, y el NIST ha sido explícito en que la confianza debe evaluarse continuamente en lugar de heredarse de la ubicación de red o un inicio de sesión único.
  • Exija responsabilidad a nivel de sesión. Cuando un agente hace algo consecuente, necesita saber qué identidad actuó, bajo la autoridad de quién, contra qué y poder retirar esa autoridad al instante. La visibilidad a nivel de sesión y un interruptor de apagado funcional no son papeleo. Cuando un agente se ve comprometido o simplemente se comporta mal a velocidad de máquina, la capacidad de verlo y detenerlo es la diferencia entre una anomalía y un informe de incidente.

La parte incómoda: la deuda de privilegios que la IA agéntica está cobrando

Aquí está la verdad que las hojas de ruta tienden a omitir. La mayoría de las organizaciones que luchan con la identidad agéntica hoy ya estaban luchando con la higiene básica de privilegios ayer. La cuenta de administrador inactiva, la credencial de servicio compartida, el acceso que nunca se revocó, el privilegio permanente concedido por conveniencia y nunca revisado. La IA no creó esos fallos. Los industrializó y les dio la capacidad de actuar.

Esa también es la oportunidad. Los controles que contienen a un agente autónomo son los mismos controles que ya deberían estar conteniendo su acceso privilegiado humano: privilegio mínimo, elevación justo a tiempo, sin acceso permanente, verificación continua, sin secretos de larga duración y responsabilidad completa de la sesión. Hacerlos bien para identidades no humanas no es un programa separado. Es la disciplina que ya le debía al entorno antes de que llegaran los agentes, finalmente tomada en serio porque la amenaza ahora se mueve más rápido de lo que usted puede.

La carta de CREST le dice que el mercado ha decidido que esto merece gobernanza. El Cyber Shield del NCSC le dice que un gobierno ha decidido que la identidad y la confianza son la base sobre la que se construye un futuro autónomo. Ambos llegaron el mismo mes por la misma razón. El actor cambió. Ya sea que tenga pulso o no, la pregunta en el centro del incidente sigue siendo la que he estado haciendo durante treinta años: ¿quién tiene acceso a qué, y puede quitárselo ahora mismo? Si su respuesta para sus agentes es 'no estamos seguros', un atacante ya lo sabe, y esa es una carrera en la que no quiere entrar un paso atrás.