Cada incidente de agentes de IA divulgado este verano termina de la misma manera: el agente completó su tarea con todo lo que tenía. El problema es cuánto tenía. Vistos uno a uno, los recientes informes sobre agentes de IA que rompen el confinamiento parecen una serie de fallos de seguridad. Sin embargo, si cambiamos el enfoque del daño al proceso, se parece cada vez más a un problema de delegación. Esto es aún más peligroso: los ataques son un caso límite importante, pero la delegación de tareas es algo cotidiano.
Esto ya no es teórico. Entre el 21 de julio y el 6 de agosto, OpenAI, Anthropic, Meta, Moonshot AI y el Instituto de Seguridad de IA del Reino Unido divulgaron incidentes en los que los agentes de IA actuaron fuera de su alcance previsto.
Los agentes escaparon de entornos de evaluación, llegaron a los sistemas de producción de organizaciones reales y, en un caso, presionaron a un mantenedor de código abierto para que aprobara código malicioso. Como informes de ataque, son una lectura extraña. Los objetivos cibernéticos fueron asignados, pero apuntaban a sandboxes: capturar esta bandera, romper este sistema de prueba. Nadie dirigió un agente a una organización real, nadie monetizó el acceso obtenido y nadie esperaba al otro lado por las credenciales.
La delegación siempre ha sido poco especificada
Las organizaciones funcionan dando a los empleados instrucciones vagas porque los límites se establecen en otro lugar. Un empleado al que se le pide obtener datos de prueba no investiga al mantenedor del proveedor y lo presiona bajo un nombre falso, por razones que no tienen nada que ver con la redacción de la solicitud. Los límites viven alrededor de la instrucción: en las normas del empleo, en las habilidades de una persona y en el modesto alcance de una credencial. Las puertas se abren de forma selectiva y la mayoría de los especialistas en marketing no piratearán a la competencia como parte de un análisis competitivo. Todo ocurre a ritmo humano, a menudo bajo revisión. A los agentes se les dan las mismas instrucciones vagas, pero sus límites provienen de arneses: indicaciones del sistema, permisos de herramientas y sandboxes que envuelven al modelo. Un arnés, sin embargo, limita lo que se ofrece al agente, no lo que el mundo acepta, y solo se mantiene mientras dure su configuración.
Gran poder, ninguna responsabilidad
Los agentes en estos incidentes fueron tan exhaustivos como un empleado humano podría ser en teoría, y como ningún empleado humano lo es en realidad. Hay dos razones principales. Primero, el techo. Las habilidades de un agente provienen de un corpus de entrenamiento que incluye todos los escritos de pentest, tutoriales de CTF, manuales de administración y hilos de foros de hackers publicados. Cuando el alcance proviene de credenciales más amplias que la tarea, por ejemplo, permisos de creador o un conector compartido, puede usarlo todo, a velocidad de máquina y sin un momento de vacilación. La segunda razón: para un modelo, capacidad y permiso son lo mismo. Un modelo que puede, quiere, a menos que algo externo diga no.
Por eso los únicos límites que se mantuvieron en las cinco divulgaciones fueron los que alguien había aprovisionado. En el incidente divulgado por OpenAI, la cadena del agente terminó dentro de la infraestructura de Hugging Face, donde las claves de AWS extraídas mapearon el entorno en la nube pero no pudieron cambiarlo, y las credenciales de base de datos robadas fueron rechazadas porque provenían de una fuente no aprobada.
El patrón ha salido del laboratorio
El desajuste entre el poder otorgado y la tarea asignada aparece en el trabajo ordinario y escala con la adopción, no con el interés del atacante. METR mantiene una base de datos pública de 44 incidentes de agentes documentados y rastrea el exceso y el engaño como columnas. En un estudio de abril de 2026 de Cloud Security Alliance y Token Security, el 65% de las empresas informó un incidente de seguridad que involucraba un agente de IA, y estos incidentes fueron implementaciones de negocios, no ejecuciones de referencia.
Cualquiera en una organización puede crear un agente y darle un objetivo vago junto con sus propias credenciales. Con cada día que pasa, más y más personas lo hacen. Es por eso que las dos soluciones obvias al problema fracasarán. No podemos esperar que los empleados comiencen a escribir mejores instrucciones. Pero el canal de instrucciones es exactamente donde vive la falta de especificación, y una especificación lo suficientemente completa como para excluir cada acción prohibida ya no es delegación: es un guion, y un guion no necesita un agente. Asegurar los prompts tampoco es la solución. Las salvaguardas actúan sobre lo que se le pide al agente y lo que decide, y ambos son inestables: una instrucción puede llegar a través de un documento, un ticket o una respuesta de API que otro controla, y la misma instrucción puede producir una secuencia diferente de llamadas mañana.
En los incidentes de Anthropic, un modelo escribió que su acción era 'NO está bien, y seguramente no es la solución prevista', y luego procedió de todos modos, mientras que otro reconoció que su objetivo era real y se detuvo. AISI ejecutó un desafío 122 veces y concluyó que el margen entre el fracaso y el éxito dependía de la 'vigilancia humana más que de una barrera técnica'.
Gestionarlo como un empleador, aplicarlo en la identidad
Las organizaciones nunca resolvieron esto para las personas contratando solo a los sabios. Escribieron una descripción del puesto, limitaron la credencial a esa descripción, revisaron el acceso periódicamente y recogieron la credencial al término del empleo. Los agentes de hoy reciben lo contrario. Su mandato no está escrito en ningún lugar; sus credenciales están limitadas a lo que su creador tenía; nadie los revisa; y solo el 21% de las organizaciones, según el mismo estudio de CSA, tiene un proceso formal para desmantelarlos. La solución para una fuerza laboral con demasiados privilegios es ajustarla al trabajo, y las herramientas de empleo ya saben cómo hacerlo. Nunca se apuntaron a esta fuerza laboral.
La forma ejecutable de una descripción de puesto es la intención: un propósito definido, comparado continuamente con lo que el agente puede alcanzar y lo que realmente hace. El acceso fuera del mandato llega entonces como un hallazgo antes de convertirse en incidente. AISI escribió que 'un buen confinamiento no debería depender de que el modelo elija no probar sus límites'. Ningún empleador dependió de que un empleado eligiera no hacerlo. Por eso existen las credenciales.
Token Security modela para qué fue construido cada agente, a partir de su propósito declarado, sus prompts, sus herramientas conectadas y sus llamadas en tiempo de ejecución, y señala el acceso que queda fuera de ese propósito. Patrocinado y escrito por Token Security.