Telecomunicaciones: el riesgo oculto en la cadena de suministro digital
5 de noviembre de 2026
La inteligencia artificial agéntica está abriendo una nueva superficie de ataque para las organizaciones. La inyección de instrucciones maliciosas, el envenenamiento de memoria, la manipulación de herramientas y el abuso de identidades no humanas anticipan un escenario en el que los atacantes podrán manipular directamente a los agentes que tienen autorización para operar dentro de los sistemas corporativos.
La evolución desde modelos conversacionales hacia agentes autónomos supone un cambio importante: estos sistemas ya no se limitan a generar respuestas, sino que pueden planificar tareas, consultar bases de datos, utilizar aplicaciones e incluso ejecutar operaciones en nombre de personas o departamentos.
Un agente conectado al correo corporativo, a una plataforma cloud o a una infraestructura tecnológica puede disponer de acceso a información sensible y recursos críticos. Si un atacante consigue manipular su comportamiento, puede lograr que sea el propio agente quien realice acciones perjudiciales utilizando sus permisos legítimos.
El problema ya no es exclusivamente proteger el modelo de IA. También hay que proteger su identidad, sus permisos, sus conexiones y su capacidad de actuación.
Los nuevos vectores de ataque contra agentes de IA
1. Prompt Injection: manipular las instrucciones del agente
La inyección de instrucciones es uno de los riesgos fundamentales de los sistemas basados en grandes modelos de lenguaje (LLM). Puede producirse directamente, mediante peticiones maliciosas, o indirectamente, introduciendo instrucciones ocultas en correos electrónicos, documentos, páginas web o fuentes de información que el agente consulta.
Esta segunda modalidad, conocida como Indirect Prompt Injection, resulta especialmente preocupante en entornos empresariales. Un agente encargado de gestionar correos o preparar informes financieros podría recibir un documento aparentemente legítimo que le induzca a recopilar información confidencial y enviarla a una dirección externa.
El usuario puede no detectar ninguna anomalía. El agente, sin embargo, puede interpretar el contenido como una instrucción válida y ejecutarla si dispone de los permisos necesarios.
2. Memory Poisoning: comprometer la memoria de la IA
Los agentes más avanzados utilizan memoria persistente para conservar información entre sesiones y mantener el contexto de sus tareas. El Memory Poisoning busca introducir información falsa o instrucciones maliciosas en esa memoria para condicionar decisiones futuras.
Una manipulación puntual puede mantenerse después de finalizar la interacción original e influir en operaciones posteriores. Por eso, es necesario controlar qué información puede almacenarse, quién puede modificarla y cómo se valida antes de recuperarla.
3. Tool Poisoning: convertir las herramientas en una vía de ataque
Los agentes utilizan APIs, aplicaciones y servicios externos para ejecutar sus funciones. Protocolos como Model Context Protocol (MCP) facilitan estas integraciones, pero también amplían la superficie de ataque.
El Tool Poisoning consiste en manipular las herramientas o sus instrucciones para inducir comportamientos no autorizados. Una integración aparentemente legítima puede contener instrucciones ocultas o dependencias comprometidas que lleven al agente a consultar información o ejecutar operaciones que exceden su función.
La seguridad del agente debe extenderse, por tanto, a las herramientas, proveedores e integraciones de las que depende.
4. Robo de identidades no humanas y escalada de privilegios
Los agentes necesitan identidades y credenciales para interactuar con los sistemas corporativos. Estas identidades forman parte de las denominadas Non-Human Identities (NHI), junto con las cuentas de servicio y otras aplicaciones automatizadas.
Su proliferación plantea un problema de gobernanza: una organización puede controlar rigurosamente las cuentas de sus empleados y desconocer, sin embargo, cuántos agentes están activos, qué credenciales utilizan o a qué recursos pueden acceder.
Los permisos excesivos, las credenciales persistentes y las cuentas compartidas pueden facilitar que un agente comprometido se convierta en una vía de acceso a otros sistemas.
5. Ataques entre agentes y Agentic Denial of Service
Las arquitecturas multiagente permiten que diferentes sistemas colaboren para completar tareas complejas. Sin embargo, también crean nuevas relaciones de confianza. Un agente manipulado puede transmitir información o instrucciones maliciosas a otros, propagando el incidente a través de la propia arquitectura de automatización.
La autonomía también puede explotarse para provocar denegaciones de servicio mediante bucles de ejecución, llamadas reiteradas a APIs o consumo desproporcionado de tokens y recursos. Este escenario, conocido como Agentic Denial of Service, puede afectar tanto a los agentes como a las aplicaciones e infraestructuras de las que dependen.
Cómo proteger los agentes de IA en entornos empresariales
La incorporación de agentes autónomos exige ampliar los modelos tradicionales de ciberseguridad. No basta con proteger las cuentas de usuario o supervisar los dispositivos: también es necesario gobernar las identidades y capacidades de los sistemas automatizados.
Entre las medidas prioritarias destacan:
- Inventariar agentes e integraciones: identificar los sistemas autorizados, sus propietarios, herramientas y recursos accesibles.
- Aplicar el mínimo privilegio: limitar cada agente a los permisos estrictamente necesarios y evitar credenciales compartidas o persistentes sin justificación.
- Separar decisión y ejecución: incorporar autorizaciones independientes para operaciones sensibles o irreversibles.
- Proteger memoria y contexto: validar las fuentes de información y controlar las modificaciones de memoria.
- Supervisar la actividad: monitorizar llamadas a herramientas, conexiones de red, consultas DNS y desviaciones de comportamiento.
- Aislar los activos críticos: impedir que un agente, dispositivo o identidad comprometida disponga de conectividad directa e indiscriminada hacia los sistemas esenciales.
- Auditar las integraciones: revisar APIs, servidores MCP y servicios de terceros.
Estas medidas deben complementarse con pruebas de seguridad específicas, ejercicios de Red Team y procedimientos de respuesta ante incidentes que contemplen la manipulación de agentes e identidades no humanas.
El verdadero desafío: controlar lo que la IA puede hacer
La inteligencia artificial agéntica permitirá automatizar procesos cada vez más complejos, pero su autonomía debe estar acompañada de una arquitectura de seguridad capaz de limitar sus consecuencias.
Un agente puede ser manipulado, sus credenciales pueden quedar expuestas y sus herramientas pueden verse comprometidas. Cuando dispone de acceso a sistemas corporativos, cualquiera de estos escenarios puede convertirse en una vía de exposición de los activos de una organización.
Por eso, la seguridad de la IA no puede limitarse a proteger el modelo o validar sus respuestas. Debe extenderse a toda su capacidad de actuación: las identidades que utiliza, los permisos que recibe, las herramientas con las que interactúa y los recursos a los que puede acceder.
En Cosmikal entendemos que proteger los activos críticos exige controlar cómo, desde dónde y bajo qué condiciones se accede a ellos. Soluciones como Endurance permiten establecer espacios de trabajo remotos blindados, aislar los dispositivos de usuario de los activos protegidos y gobernar los accesos mediante mecanismos de control y trazabilidad.
Esta arquitectura aporta una capa de protección especialmente relevante en entornos IT y OT, donde una conexión comprometida puede poner en riesgo información, servicios esenciales o la continuidad operativa. No sustituye los controles específicos que necesita un agente de IA, pero contribuye a limitar la exposición de los activos frente a dispositivos y conexiones potencialmente comprometidos.
La evolución de la inteligencia artificial no elimina los principios fundamentales de la ciberseguridad. Los hace todavía más importantes.
Porque cuanto mayor sea la capacidad de actuación de un sistema, mayor debe ser el control sobre sus permisos y sus accesos.
