Para interactuar en nuestro nombre con distintos sistemas, la IA agéntica ha dado lugar a identidades no humanas (INH).
La proliferación de INH en puntos ciegos de seguridad, también mediante el uso de activos criptográficos, amplía enormemente la superficie de ataque para los actores maliciosos.
Abordar el reto de las INH empieza por tener plena visibilidad de estas herramientas agénticas y de los activos criptográficos en general.
La IA está transformando las empresas de todo el mundo, desbloqueando eficiencias, acelerando la toma de decisiones, impulsando la innovación y remodelando todos los niveles operativos. Una de las tendencias más importantes es la IA agéntica: «agentes» autónomos que interactúan con los datos y sistemas empresariales y se adaptan a objetivos específicos. Estos agentes, capaces de comprender el contexto, planificar y resolver problemas de forma adaptativa, ejecutan procesos complejos de varios pasos con una intervención o supervisión humana mínima. En octubre de 2024, Gartner calificó la IA agéntica como la principal tendencia tecnológica de 2025 y predijo que el 33 % de las aplicaciones empresariales incluirían IA agéntica para 2028, frente a menos del 1 % en 2024.
En la urgencia por adoptar la IA agéntica, muchas organizaciones corren el riesgo de pasar por alto un reto crítico de ciberseguridad: el auge de las identidades no humanas (INH), que incluyen claves de API, cuentas de servicio y tokens de autenticación. Estos agentes de IA interactúan con herramientas, API, páginas web y sistemas para ejecutar acciones en tu nombre (no solo para ofrecer recomendaciones). Las IA agénticas pueden generar INH en puntos ciegos de seguridad, que a menudo reciben un acceso amplio y persistente a datos y sistemas sensibles sin las salvaguardias que suelen aplicarse a las personas. Además, la IA agéntica no es meramente pasiva ni se limita a razonar: puede actuar y tener un impacto profundo en el mundo digital y físico.
En entornos de rápida expansión, las INH proliferan más deprisa de lo que los equipos de seguridad pueden supervisarlas. El uso de INH multiplica considerablemente la superficie de ataque potencial de una empresa y crea nuevos riesgos en lugares que antes se consideraban seguros. Antes, los CISO solo tenían que preocuparse por gestionar las credenciales de los empleados y de algunos terceros; ahora tendrán que hacerlo para multitud de INH.
¿Deberíamos haberlo previsto? Quizá. La historia muestra cómo los sistemas autónomos pueden rebasar los límites previstos. El gusano Morris de 1988, gusano Morris, diseñado para cartografiar internet, infectó en cambio 6.000 máquinas. Stuxnet, creado para atacar centrifugadoras nucleares iraníes en 2010, se propagó a sistemas industriales de todo el mundo. En 2024, durante un ejercicio de seguridad, un modelo de ChatGPT escapó de su entorno aislado y accedió a archivos restringidos sin que se le indicara que lo hiciera.
Estos casos revelan que los agentes autónomos desarrollan capacidades que superan las expectativas de sus creadores. Si se contempla un diseño deliberadamente malicioso, los riesgos son mucho más graves.
Para obtener o mantener acceso y operar, la IA agéntica integra INH en flujos de trabajo sensibles, mueve datos entre recursos mediante API, accede a datos sensibles y opera a velocidad de máquina. La interacción de los agentes también implica el uso de activos criptográficos, como certificados y claves de cifrado. Por desgracia, el enorme tamaño y la complejidad de las arquitecturas de TI empresariales modernas impiden que la mayoría de los CISO tengan plena visibilidad de sus INH y de su entorno criptográfico, y mucho menos un catálogo de la criptografía implementada, dónde se utiliza o si sigue siendo válida o eficaz. Esta falta de transparencia subraya la creciente necesidad de un enfoque moderno para descubrir las INH y los activos criptográficos (incluido su inventario): no se puede proteger lo que no se ve.
Las arquitecturas de confianza cero, que exigen identificación y autorización continuas y conceden solo acceso con los mínimos privilegios, se han adoptado ampliamente, pero la mayoría de las implementaciones se detienen en la identidad humana. Los procesos automatizados suelen conservar amplios privilegios de autorización sin fecha de caducidad, certificación ni rendición de cuentas, y eluden los protocolos diseñados para proteger nuestros sistemas. Sin visibilidad en tiempo real de qué INH se utilizan, cómo y cuándo, la autenticación por sí sola ofrece una falsa sensación de seguridad.
Ahora vemos surgir una cadena de ataque: cuentas de servicio con permisos excesivos (INH creadas por aplicaciones para acceder a recursos y automatizar tareas), credenciales sensibles escritas en el código y certificados inactivos o caducados. No hay malware ni una vulnerabilidad evidente: solo una gestión deficiente de las INH y de la gobernanza criptográfica, a menudo heredada entre equipos y entornos. Es un estado de fallo silencioso que puede desencadenar fácilmente pérdidas catastróficas.
Las consecuencias van más allá de las filtraciones de datos corporativos. Pensemos en infraestructuras críticas: redes eléctricas, sistemas de comunicación de emergencia y logística de defensa. La vulneración de credenciales en estos ámbitos no solo pone en peligro la continuidad operativa: pone vidas en riesgo.
Los responsables de formular políticas y los reguladores empiezan a actuar. Mandatos del Gobierno de EE. UU., como NSM-10, EO 14028 y OMB M-23-02, exigen ahora inventariar la criptografía en tiempo real para fortalecer la ciberseguridad nacional. Reconocen que, sin una comprensión precisa y actualizada de los activos criptográficos y de quién accede a ellos, el cumplimiento normativo y la seguridad son imposibles.
La criptografía establece y hace cumplir la identificación y los derechos de acceso (autenticación), tanto para las personas como para las entidades no humanas (agentes). Si la criptografía y los derechos y privilegios de acceso no se cartografían y mantienen correctamente, estamos invitando abiertamente a los agentes de IA a descontrolarse y a los piratas informáticos a vulnerar nuestros sistemas. Órdenes ejecutivas más recientes van más allá: instan a automatizar la gestión criptográfica y a acelerar la transición a algoritmos resistentes a la computación cuántica (también llamada criptografía poscuántica). Un ordenador cuántico capaz de romper RSA o ECC permitiría a quienes hoy recopilan tráfico cifrado acceder a todo tipo de datos.
Abordar este reto empieza por la visibilidad: las organizaciones deben poder descubrir y cartografiar sus INH y activos criptográficos. A partir de ahí, son esenciales los controles de acceso que tienen en cuenta la identidad, la gestión automatizada de claves y la aplicación de políticas en todos los sistemas y con todos los socios. Por último, prepararse para la resiliencia cuántica mediante la adopción de algoritmos poscuánticos estandarizados por el NIST, como ML-KEM y ML-DSA, garantizará la seguridad a largo plazo.
¿Cómo está creando el Foro Económico Mundial salvaguardias para la inteligencia artificial?
El Centro para la Excelencia en IA conecta a líderes de distintos sectores para comprender la rápida evolución de la inteligencia artificial y sus implicaciones para las economías y las sociedades. Promueve un diálogo informado sobre las oportunidades, los riesgos y las compensaciones asociados a la adopción de la IA.
Mediante espacios de confianza e iniciativas colaborativas, el Centro permite que sus socios desarrollen una comprensión común y trabajen juntos en enfoques responsables para la innovación y el uso de la IA.
En un mundo cada vez más determinado por la IA, la resiliencia de la seguridad —impulsada por una gobernanza sólida de las INH y de la criptografía— es resiliencia nacional. No podemos permitirnos tratarla como una tarea de cumplimiento administrativo. Debe ocupar un lugar central en cada junta directiva, programa de seguridad e iniciativa de transformación digital. Porque cuando falla la criptografía, todo lo demás cae con ella.
