En muchos entornos empresariales operan agentes de IA que plantean graves riesgos de seguridad pero que, en su mayoría, permanecen ocultos a la vista de los equipos de seguridad, según un informe publicado el miércoles por una empresa global de seguridad de agentes.
Los agentes de IA ahora leen bandejas de entrada, gestionan incidencias, escriben código y transfieren registros entre aplicaciones mediante permisos OAuth permanentes, señaló el informe de Reco; la mayoría llegó de la misma forma que siempre lo ha hecho la IA no autorizada: aceptando pantallas de consentimiento una a una, sin pasar por ninguna revisión de seguridad.
El informe de 16 páginas —basado en telemetría de Reco sobre el uso de herramientas de IA en empresas, un análisis de 500 servidores del protocolo MCP (*Model Context Protocol*) y registros públicos de vulnerabilidades— destaca una diferencia clave: un atacante que accede a un *chatbot* solo ve lo que los empleados han pegado en él, mientras que quien accede a un agente hereda todos los permisos de acceso de este. Esto ocurre a velocidad de máquina y bajo una identidad no humana creada por la organización, pero con la que esta nunca interactúa directamente.
Aunque reconoce que la mayoría de las aplicaciones SaaS cuentan con autorización empresarial, el informe revela que las pequeñas y medianas empresas utilizan 414 herramientas de IA no autorizadas por cada 1.000 empleados.
La «IA en la sombra» se propaga fuera del control de TI.
«Los empleados utilizan agentes no autorizados porque resuelven problemas laborales inmediatos, como resumir el contenido de una bandeja de entrada o conectar un flujo de trabajo con un CRM», explicó Ofer Klein, director ejecutivo de Reco.
«Es posible que el empleado perciba esto como una mejora de la productividad, y no como la introducción de un riesgo de seguridad en el entorno de la empresa», declaró.
Añadió que las herramientas de «IA en la sombra» suelen introducirse en la empresa sin pasar por una revisión de seguridad, pero aun así obtienen acceso a datos y sistemas corporativos confidenciales —a menudo a través de extensiones del navegador o pantallas de consentimiento OAuth—, eludiendo los procesos habituales de adquisición y evaluación.
«En las empresas más pequeñas, el volumen resulta especialmente preocupante, ya que estas herramientas pueden llegar a acceder a los mismos sistemas de nóminas, datos de clientes y código fuente que en una gran corporación, pero con menos personal supervisando la situación», afirmó.
Dave Hayes, vicepresidente de producto de FusionAuth —empresa con sede en Broomfield, Colorado, dedicada al desarrollo de software de gestión de identidades y acceso de clientes—, señaló que, si bien las aplicaciones no autorizadas solían representar un problema relacionado con los datos, los agentes de IA son mucho más peligrosos, incluso cuando no actúan de forma maliciosa.
«Los agentes se conectan a múltiples sistemas e intentan alcanzar su objetivo sin tener en cuenta las normas humanas; en cambio, una aplicación instalada por el usuario se conectaría a un único sistema y dejaría de funcionar si no pudiera realizar su tarea», declaró.
Acceso sin gobernanza.
Reco también informó que cuatro de cada cinco herramientas de IA operan sin supervisión del departamento de TI.
«Una herramienta sin supervisión de TI es una herramienta que carece de políticas asociadas: no hay registro de a qué datos puede acceder, ni forma de revocar su acceso cuando finaliza un proyecto, ni rastro de auditoría si algo sale mal», explicó Ron Longo, director ejecutivo de TrustLogix, una empresa de seguridad de datos y gobernanza de acceso con sede en Mountain View, California.
«A gran escala, esto se traduce en una huella amplia e invisible de accesos permanentes en toda la organización que nadie gestiona activamente», comentó.
Jacob Krell, director sénior de soluciones de IA segura y ciberseguridad en Suzu Labs —un proveedor de servicios de ciberseguridad basados en IA con sede en Las Vegas—, señaló que ese segmento no supervisado es precisamente donde operan los agentes autónomos.
«Un empleado puede configurar un agente de IA dentro de una plataforma como Salesforce o Microsoft 365 sin generar el registro de adquisiciones asociado a una nueva aplicación», declaró. «Dependiendo de cómo se configure la integración, dicho agente podría heredar los permisos de acceso existentes de la plataforma y seguir operando de forma autónoma, posiblemente mucho tiempo después de que el empleado que lo configuró haya abandonado la empresa».
«Si no se lleva un inventario de esas credenciales y permisos, las organizaciones terminan con accesos automatizados de larga duración que nadie supervisa activamente», afirmó.
El acceso a la *shell* eleva los riesgos.
Los investigadores de Reco también analizaron 500 servidores MCP publicados y descubrieron que la mitad de ellos podían ejecutar comandos de *shell* en la máquina anfitriona.
«Podría decirse que este es el hallazgo más alarmante desde una perspectiva puramente de infraestructura», observó Jeff Collins, director ejecutivo de WanAware, una empresa de observabilidad de infraestructura de TI e inventario de activos con sede en Boulder, Colorado.
«El protocolo MCP está diseñado para otorgar a los modelos de IA acceso a entornos locales, pero permitir que una IA ejecute comandos de *shell* equivale, en la práctica, a una ejecución remota de código», explicó.
«El desafío de seguridad aquí radica en el riesgo de inyección indirecta de *prompts* y en la vulnerabilidad de la cadena de suministro», detalló. «Si un atacante logra manipular las entradas de un modelo de IA —por ejemplo, enviando a un empleado un documento malicioso que la IA luego resume—, podría engañar a la IA para que ejecute comandos maliciosos de *shell* en la máquina anfitriona».
«Dado que la IA ya cuenta con autorización, el atacante obtiene acceso inmediato a la red corporativa, lo que le permite moverse lateralmente, instalar *ransomware* o exfiltrar datos», señaló.
Un objetivo de alto valor.
El hallazgo relacionado con MCP debería servir de advertencia para quienes consideran a MCP como una simple capa de integración ligera, sostuvo Arti Raman, director ejecutivo de Portal26, una empresa de visibilidad de IA empresarial con sede en San José, California.
«Si dicho servidor resulta comprometido, está mal configurado o es manipulado mediante un *prompt* malicioso, el atacante no se limita a extraer información; potencialmente puede ejecutar comandos arbitrarios con los privilegios que posea ese servidor», declaró. «A gran escala, esto convierte a la infraestructura de IA con capacidad de agencia en uno de los objetivos de mayor valor para la empresa», explicó, «y la mayoría de las organizaciones aún no cuenta con la visibilidad ni los controles necesarios para tratarla como tal».
«La gente está instalando estas herramientas desde repositorios de GitHub con pocas estrellas, sin revisión de código y sin ningún proveedor que las respalde», añadió Russell Spitler, cofundador y director ejecutivo de Nudge Security, un proveedor de seguridad para SaaS e IA con sede en Austin, Texas.
«Nunca aceptaríamos algo así en ninguna otra categoría de software con este nivel de acceso», declaró, «pero está ocurriendo a gran escala porque la instalación se realiza fuera del campo de visión del departamento de TI».
Reco también identificó 525 vulnerabilidades en herramientas de agentes y LLM (modelos de lenguaje de gran tamaño) divulgadas en los últimos 18 meses; de ellas, al menos 111 fueron clasificadas como críticas, con una puntuación de 9,0 o superior en el Sistema de Puntuación Común de Vulnerabilidades (CVSS).
El informe advirtió que el ecosistema de herramientas de agentes —joven y de rápida evolución— está generando vulnerabilidades a un ritmo superior al que los ciclos convencionales de parches pueden gestionar.
Cambio en la gobernanza.
Los investigadores de Reco también descubrieron que el 62% de las herramientas de agentes analizadas pueden leer datos locales y transmitirlos a través de Internet en un solo paquete.
«La capacidad de leer y exportar datos en una misma herramienta acorta la distancia entre el acceso y la pérdida de información», explicó Itai Schwartz, cofundador y director de tecnología (CTO) de Mind, una empresa de seguridad de datos nativa de IA con sede en Seattle.
«No hace falta hackear una herramienta así para que cause daños», comentó «Basta con una instrucción (*prompt*) que la convenza de realizar su tarea utilizando los datos incorrectos».
«Los datos a los que accede suelen formar parte de la ‘deuda’ que arrastra toda organización: años de archivos confidenciales no clasificados que ahora pueden ser leídos por agentes que el departamento de TI nunca ha validado», señaló. «Una vez que un agente empaqueta y envía esa información, esta se pierde a la velocidad de la máquina».
«El patrón subyacente en todas las estadísticas de este informe es el mismo», añadió. «Las organizaciones están dirigiendo agentes no validados hacia años de datos confidenciales acumulados que nadie clasificó jamás».
El cambio fundamental que deben adoptar las organizaciones consiste en pasar de gobernar lo que la IA puede generar a gobernar lo que la IA puede hacer, sostuvo Ryan McCurdy, vicepresidente de marketing de Liquibase, una empresa de automatización de cambios en bases de datos con sede en Austin, Texas.
«A medida que los agentes obtienen acceso a más herramientas, credenciales y sistemas de producción, la seguridad no puede limitarse al modelo», declaró. «La gobernanza debe seguir la acción hasta el propio sistema que se está modificando». «Tiene que operar a la velocidad de la IA», continuó. «Añadir más tickets y aprobaciones manuales cada vez que un agente quiere hacer algo anula la razón misma por la que las empresas están adoptando agentes».
