Agentes de IA autónoma y seguridad: qué está verificado, qué es hipótesis y qué se atribuye sin pruebas
Nota de verificación previa (obligatoria para leer este artículo)
Antes de redactar este análisis se intentó verificar las dos fuentes propuestas originalmente: techcrunch.com/2026/09/25/unsecured-openai-agents-posted-53-user-images-on-the-internet-without-the-labs-knowledge/ y techcrunch.com/2026/09/25/for-months-openais-agent-swarms-have-been-attacking-online-databases-to-find-obscure-facts/. Ambas presentan una fecha de publicación (25 de septiembre de 2026) posterior a la fecha actual, lo que las hace, por definición, no verificables como reportes publicados. No se ha podido confirmar su existencia ni recuperar su contenido, autoría o enlaces de archivo.
En consecuencia, este artículo elimina todas las afirmaciones específicas que dependían de esas fuentes: el número «53 imágenes», los «enjambres» de agentes, la duración de «meses», la supuesta ausencia de conocimiento por parte de OpenAI y cualquier atribución de responsabilidad legal a la empresa. Ninguna de esas afirmaciones se sostiene con evidencia pública disponible y, por tanto, no deben publicarse como hechos. No se recibió una lista alternativa de temas, de modo que se conserva el asunto general —seguridad de la IA agéntica— pero reconstruido exclusivamente sobre fuentes primarias y secundarias verificables que se listan al final.
El artículo distingue de forma explícita tres categorías: hechos documentados (con fuente), hallazgos de investigación (publicados por sus autores, con alcance limitado a sus experimentos) e hipótesis de trabajo (razonamiento técnico no confirmado empíricamente). Cuando una afirmación no encaja en las dos primeras, se etiqueta como hipótesis.
Contexto: del chatbot al agente
Un chatbot responde. Un agente actúa. Esa diferencia, aparentemente trivial, es la que reorganiza por completo el modelo de amenaza. Un modelo de lenguaje conectado a herramientas puede leer archivos, consultar bases de datos, enviar correos, ejecutar código, navegar por la web y encadenar esas acciones sin intervención humana en cada paso. Cada capacidad añadida es, simultáneamente, una funcionalidad y un vector de ataque.
El ecosistema se ha movido rápido en esa dirección. Anthropic publicó el Model Context Protocol (MCP) en noviembre de 2024 como estándar abierto para conectar asistentes con fuentes de datos y herramientas. OpenAI, Google y otros proveedores han desplegado funciones equivalentes de uso de herramientas, ejecución de código y navegación autónoma. La pregunta de seguridad relevante ya no es «¿el modelo dice cosas falsas?», sino «¿qué puede hacer el modelo en el mundo real, con qué permisos y con qué trazabilidad?».
Qué cambia en el modelo de amenaza
Superficie de ataque ampliada
En un chatbot, la superficie de ataque se limita esencialmente a la entrada del usuario y a los datos de entrenamiento. En un agente, cada herramienta conectada es una interfaz: el servidor MCP, la API interna, el sistema de archivos, la base de datos, el navegador. A esto se suma que el agente consume contenido no confiable de forma rutinaria —páginas web, correos, documentos, resultados de búsqueda— y ese contenido puede contener instrucciones.
Inyección de prompts: el problema estructural
La inyección de prompts ocupa el primer lugar en la lista OWASP Top 10 for LLM Applications en su edición de 2025 (LLM01:2025). El problema es estructural, no un error de implementación concreto: los modelos procesan instrucciones y datos en el mismo canal, sin una separación robusta entre «lo que el desarrollador ordenó» y «lo que un tercero escribió en una página web». Simon Willison formuló en 2025 una heurística útil, la «trifecta letal»: un agente es especialmente peligroso cuando combina (1) acceso a datos privados, (2) exposición a contenido no confiable y (3) capacidad de comunicar información al exterior. Si concurren las tres, la exfiltración es una cuestión de probabilidad, no de si ocurrirá.
Hipótesis de trabajo: en despliegues empresariales reales, la mayoría de los agentes productivos tiende a cumplir las tres condiciones de la trifecta, aunque no exista todavía un censo público que lo cuantifique. Se trata de un razonamiento sobre arquitecturas observadas, no de un dato medido.
Incidentes verificables y qué enseñan
El caso de la caché de ChatGPT (marzo de 2023)
Este es un incidente documentado y admitido por el propio proveedor. El 20 de marzo de 2023, ChatGPT sufrió una interrupción. OpenAI publicó el 24 de marzo de 2023 una explicación técnica titulada «March 20 ChatGPT outage: Here's what happened». Según esa publicación, la causa fue un error en la biblioteca de código abierto redis-py, concretamente en su implementación del grupo de conexiones asíncrono, que provocó que las solicitudes devolvieran datos de caché correspondientes a otras sesiones.
OpenAI describió en ese mismo texto el alcance: algunos usuarios vieron títulos de conversaciones de otros usuarios en su historial, y en un caso acotado pudo aparecer el primer mensaje de una conversación nueva. La compañía cifró el peor escenario en un 1,2 % de los suscriptores de ChatGPT Plus que estuvieron activos durante una ventana de nueve horas del 20 de marzo, cuyos datos de pago pudieron quedar expuestos: nombre y apellidos, correo electrónico, dirección de facturación, los últimos cuatro dígitos de la tarjeta y su fecha de caducidad. OpenAI afirmó que no se expusieron números completos de tarjeta. La empresa indicó además que había parcheado la biblioteca y contribuido la corrección al proyecto de código abierto.
Lecciones relevantes, y aplicables hoy a sistemas agénticos:
- La causa raíz no fue el modelo, sino una dependencia de infraestructura. En agentes, la cadena de dependencias es mucho más larga y heterogénea.
- El aislamiento entre inquilinos (tenancy) es un requisito de seguridad, no una optimización.
- El incidente fue detectado y comunicado con nombres, cifras y causa técnica. Ese nivel de detalle es el estándar mínimo para poder analizar un fallo.
Investigación sobre secuestro de agentes
Existe literatura revisada por pares y preprints que demuestran la viabilidad del secuestro de agentes en condiciones controladas. Anthropic ha advertido públicamente, al presentar sus capacidades de «uso de computadora» en octubre de 2024, que la inyección de prompts constituye un riesgo activo y que sus salvaguardas no eliminan esa clase de ataque. Investigadores de Google publicaron en 2025 el trabajo «Defeating Prompt Injections by Design» (sistema CaMeL), que propone separar el flujo de control del flujo de datos mediante un intérprete con capacidades explícitas, precisamente porque las defensas basadas solo en filtrado de texto resultan insuficientes.
Estos resultados son demostraciones de laboratorio o análisis de diseño. Establecen que la clase de ataque es real y reproducible en entornos de prueba; no establecen que un producto comercial concreto haya sufrido ese ataque en producción. Esa distinción debe mantenerse con rigor en cualquier cobertura periodística.
Riesgos concretos e implicaciones para la seguridad de la IA agéntica
Las dos secciones que en la versión anterior aparecían separadas y redundantes se fusionan aquí en un único bloque, para evitar repetición.
1. Exfiltración de datos
Un agente con acceso a un repositorio interno y a un canal de salida (correo, petición HTTP, creación de documentos compartidos) puede convertirse en un canal de exfiltración. Las defensas por firma de texto fallan porque la exfiltración puede codificarse de formas arbitrarias: orden de elementos, elección de palabras, codificación en nombres de archivo o en parámetros de una URL aparentemente legítima.
2. Exceso de agencia y acciones no autorizadas
OWASP incluye «Excessive Agency» como riesgo específico (LLM06:2025). El patrón habitual es conceder permisos amplios por comodidad —una cuenta de servicio con acceso de escritura a toda la base de datos— cuando el caso de uso solo requiere lectura de un subconjunto. En agentes, el principio de mínimo privilegio no es una recomendación de estilo: es la única barrera que sigue funcionando cuando la capa de razonamiento ha sido comprometida.
3. Confusión entre escaneo, acceso no autorizado y ataque
Es habitual, y técnicamente incorrecto, usar estos términos como sinónimos. Un rastreo automatizado de recursos públicos no es lo mismo que un acceso no autorizado a un sistema protegido, ni un acceso no autorizado equivale necesariamente a un «ataque» en el sentido de explotación activa de una vulnerabilidad con daño intencionado. La calificación jurídica depende de jurisdicción, de la existencia de medidas de control de acceso y del dolo. Cualquier texto que atribuya esas conductas a un actor concreto sin citar el reporte original y sin lenguaje condicional está haciendo una afirmación legal que no puede sustentar.
4. Identidad, permisos y trazabilidad
Cuando un agente actúa, ¿en nombre de quién lo hace? ¿Con qué identidad queda registrada la acción en los sistemas de destino? ¿Se puede reconstruir la cadena completa de decisiones? La mayoría de las organizaciones no tiene respuesta a estas preguntas para sus despliegues agénticos. Sin identidad verificable y registros de auditoría por paso, la respuesta a incidentes es prácticamente imposible.
5. Cadena de suministro de herramientas
El ecosistema MCP y los conectores de terceros introducen dependencias que el equipo de seguridad no controla. Investigadores han descrito clases de ataque sobre servidores de herramientas —por ejemplo, instrucciones maliciosas embebidas en descripciones de herramientas— que un usuario no ve. Es un área con hallazgos publicados pero sin un marco de evaluación estandarizado, y por tanto conviene tratarla como riesgo emergente, no como riesgo cuantificado.
6. Marcos de gobernanza aplicables
El NIST publicó el AI Risk Management Framework (AI RMF 1.0) en enero de 2023 y un perfil específico para IA generativa (NIST AI 600-1) en julio de 2024. La Unión Europea aprobó el Reglamento de IA, en vigor desde el 1 de agosto de 2024, con un calendario de obligaciones escalonado. Ninguno de estos instrumentos resuelve el problema técnico de la inyección de prompts; aportan estructura de gobernanza, evaluación de impacto y requisitos de documentación. Presentarlos como solución sería tan impreciso como presentarlos como irrelevantes.
Cómo evaluar afirmaciones sobre incidentes de agentes
Dado el volumen de ruido en esta área, conviene aplicar una lista de comprobación antes de dar por buena cualquier afirmación:
- ¿La fuente existe y es recuperable? URL activa, fecha coherente con el calendario real, autor identificable y archivo en Wayback Machine o similar.
- ¿Quién afirma el hecho? ¿El proveedor, un investigador independiente, un tercero que cita a otro? La atribución debe ser explícita.
- ¿Hay cifras? Si aparecen números concretos («53 imágenes», «durante meses»), debe existir la cita textual que los respalde o el dato debe reformularse como no confirmado.
- ¿Se distingue el tipo de conducta? Escaneo, acceso no autorizado y explotación son categorías distintas.
- ¿Hay lenguaje condicional? «Presuntamente», «según el reporte», «de acuerdo con la investigación». La ausencia de matices es una señal de alarma editorial.
- ¿Se separan hechos de hipótesis? Un texto técnico serio lo hace de forma visible.
Conclusiones
Primera: las
