Cibernética inmunológica digital
La empresa agéntica necesita un sistema inmunitario
Cómo diseñar agentes de IA que puedan actuar sin concentrar toda la confianza: identidad, mínimo privilegio, contención, supervisión y recuperación.
Los agentes de IA convierten instrucciones en acciones. Para gobernarlos no basta con filtrar lo que dicen: hay que limitar lo que pueden hacer, detectar cuándo se desvían y contener el daño antes de que se propague.
Imagina un agente conectado al correo, al CRM y al sistema de facturación. Su trabajo es sencillo: leer solicitudes de clientes, preparar respuestas y tramitar devoluciones dentro de unos límites. Una mañana encuentra en un correo una instrucción oculta que le pide ignorar sus reglas, buscar información sensible y enviarla a una dirección externa.
El modelo no se ha vuelto malicioso. Está procesando contenido no confiable como si fuera una instrucción y, además, dispone de herramientas con demasiado alcance. La combinación es lo peligroso: una inyección indirecta de prompts deja de ser una respuesta extraña y se convierte en una acción real.
Este escenario resume el cambio de fondo. Durante la etapa del chatbot, el principal riesgo era que la IA dijera algo incorrecto. En la etapa agéntica, también importa qué puede leer, qué credenciales hereda, qué herramientas puede invocar, cuánto tiempo puede actuar y qué ocurre cuando se equivoca.
La seguridad deja de ser una propiedad del modelo. Pasa a ser una propiedad del sistema que lo rodea.
Del modelo que responde al sistema que actúa
Un agente combina un modelo con instrucciones, memoria, herramientas y un bucle de control. Puede planificar varios pasos, consultar datos, ejecutar código, modificar registros o coordinarse con otros agentes. Protocolos abiertos como Model Context Protocol (MCP) y Agent2Agent (A2A) facilitan esas conexiones: MCP estandariza la relación con herramientas y fuentes de datos; A2A, la comunicación entre agentes independientes.
Los protocolos no son vulnerabilidades por sí mismos. El riesgo aparece cuando una organización conecta sistemas sin resolver antes las fronteras de confianza: quién autentica a cada actor, qué autoriza cada llamada, qué datos pueden cruzar la frontera y qué impacto máximo tiene una credencial comprometida.
Por eso la superficie de ataque ya no termina en el prompt. Incluye el catálogo de herramientas, los permisos, la memoria, los servidores externos, las identidades de servicio, las reglas de salida a internet y la cadena de agentes que reutiliza un resultado sin comprobar su procedencia. Es, en otras palabras, un problema de Harness Engineering: de todo lo construido alrededor del modelo para convertir capacidad en un sistema fiable y gobernable.
Cuatro formas de enfermar
No todos los fallos agénticos tienen el mismo origen. Mezclarlos produce controles vagos. Conviene separar al menos cuatro clases.
Instrucciones ocultas en datos
Un correo, una web, un documento recuperado por RAG o la salida de una herramienta puede contener instrucciones que el agente interpreta como autoridad. No es envenenamiento del entrenamiento: el ataque entra durante la operación normal.
Agencia excesiva
El agente dispone de más funciones, permisos o autonomía de los que necesita. El modelo puede fallar, pero el radio de impacto lo decide la arquitectura de permisos.
Desviación del objetivo
Una instrucción incompleta puede optimizarse por una vía que nadie pretendía: reducir costes degradando un control, cerrar casos sin resolverlos o cumplir una métrica ocultando excepciones.
Propagación entre componentes
Un resultado contaminado pasa de un agente a otro, entra en memoria y reaparece como contexto aparentemente confiable. La confianza no debería heredarse solo porque el mensaje viene de otro agente.
Un sistema inmunitario para la empresa agéntica
La biología ofrece una metáfora útil: un organismo no depende de una única muralla. Combina barreras, vigilancia distribuida, respuestas rápidas, memoria y adaptación. Propongo llamar cibernética inmunológica digital al uso disciplinado de ese esquema para diseñar la seguridad de sistemas agénticos.
No es un estándar ni sustituye a Zero Trust, la gestión de identidades, el desarrollo seguro o la respuesta a incidentes. Es una forma de ordenar esos controles alrededor de una pregunta: ¿cómo detecta, contiene y aprende una organización cuando uno de sus agentes —o algo que el agente consume— se comporta como una amenaza?
| Componente biológico | Equivalente operativo | Función verificable |
|---|---|---|
| Barreras epiteliales | Identidad, autorización, validación y listas permitidas | Impedir accesos y acciones fuera de política antes de llegar al modelo o a la herramienta. |
| Microbioma | Agentes y servicios autorizados | Definir una línea base de actores, flujos y comportamientos esperados; no constituye una defensa por sí mismo. |
| Vigilancia inmunitaria | Trazas, registros, detectores y evaluaciones | Reconstruir qué decidió el agente, qué contexto recibió, qué herramienta llamó y con qué identidad. |
| Respuesta efectora | Playbooks deterministas | Bloquear una llamada, limitar velocidad, suspender una credencial, aislar una ejecución o pasar a modo seguro. |
| Memoria adaptativa | Pruebas, firmas, reglas y procedimientos | Convertir cada incidente confirmado en una evaluación y un control reutilizable. |
La distinción más importante está entre detectar y autorizar. Un segundo modelo puede ayudar a clasificar una anomalía, pero no debería tener la última palabra sobre una transferencia, un borrado o una orden a un sistema físico. La autoridad debe residir en controles deterministas externos al modelo: políticas de acceso, límites de gasto, listas de destinos, separación entre lectura y escritura y estados de operación segura.
Los guardarraíles también cuentan, pero como defensa en profundidad. Un filtro semántico puede reducir ataques conocidos; no es una frontera de seguridad infalible. Si una inyección logra atravesarlo, el mínimo privilegio, la autorización independiente y el aislamiento deben seguir impidiendo que una instrucción se convierta en un incidente grave.
La supervisión humana no desaparece: cambia de nivel
Un analista no puede aprobar cada consulta, cada paso de razonamiento y cada llamada a una API en un sistema de alto volumen. Intentarlo generaría latencia y, peor aún, fatiga de aprobación: personas que terminan confirmando automáticamente lo que ya no tienen tiempo de evaluar.
Pero de ahí no se sigue que la respuesta sea eliminar al humano. La supervisión eficaz se distribuye según el riesgo.
| Tipo de acción | Régimen recomendado |
|---|---|
| Lectura de bajo impacto y acción reversible | Autonomía dentro de permisos estrechos, con trazabilidad completa. |
| Operación frecuente con impacto acotado | Autorización determinista, límites cuantitativos, monitorización y revisión por muestreo. |
| Acción de alto impacto, regulada o difícil de revertir | Aprobación humana informada antes de ejecutar. |
| Señal de ataque o comportamiento fuera de política | Contención automática reversible, notificación y escalado a un responsable nombrado. |
La máquina aporta velocidad; la persona define la autoridad.
El objetivo no es poner a un humano en cada paso, sino garantizar que una persona competente pueda entender, intervenir, anular y responder por el sistema cuando importa.
Qué cambia en infraestructuras críticas
En banca, energía, salud o logística, una mala respuesta no termina en una pantalla. Puede mover dinero, afectar un tratamiento, alterar inventario o tocar un proceso físico. Aquí la metáfora inmunitaria solo es útil si se convierte en controles verificables.
Banca. Un agente transaccional debería operar con beneficiarios permitidos, límites por importe y frecuencia, credenciales propias y autorización reforzada al cruzar un umbral. La detección de anomalías puede detener temporalmente una operación; no debería sustituir las reglas deterministas de liquidación ni la aprobación de movimientos de alto impacto.
Energía y sistemas OT/SCADA. El plano agéntico debe permanecer separado de los interbloqueos de seguridad y del control determinista. Ante datos incoherentes o pérdida de confianza, el sistema ha de degradarse con elegancia hacia un modo seguro. NIST está desarrollando un perfil específico del AI Risk Management Framework para infraestructuras críticas que enfatiza comportamiento seguro ante fallos, robustez adversarial y pruebas rigurosas.
Salud. Un asistente puede resumir un historial con acceso de lectura limitado. Modificar una prescripción, compartir datos o ejecutar una decisión clínica requiere otra identidad, validación de dominio, registro y supervisión proporcional al riesgo.
Retail y cadena de suministro. Los agentes pueden ajustar inventario o preparar órdenes dentro de bandas autorizadas. Cambiar precios masivamente, incorporar un proveedor o redirigir pagos exige controles distintos. La reversibilidad y el impacto económico, no la etiqueta «IA», deberían decidir el nivel de autonomía.
Dónde se rompe la metáfora
Todo marco biológico invita a exagerar. Un sistema inmunitario también puede equivocarse: atacar tejido sano, reaccionar tarde o causar más daño que la amenaza. Su equivalente digital es un mecanismo defensivo que bloquea operaciones legítimas, revoca credenciales críticas o aísla demasiados servicios por un falso positivo.
Además, un agente que vigila a otros agentes puede compartir sus mismas vulnerabilidades. Si todos usan el mismo modelo, la misma memoria o el mismo proveedor, la aparente diversidad puede esconder un monocultivo. Y un sistema que «aprende» automáticamente de cada incidente puede aprender también de evidencia manipulada.
Por eso la adaptación debe estar gobernada. Las nuevas firmas, evaluaciones y políticas necesitan procedencia, validación, versión, responsable y posibilidad de reversión. La metáfora se convierte en arquitectura solo cuando cada función tiene un control, una métrica, una prueba y un propietario.
Medir la inmunidad sin fingir precisión
El marco propone dos instrumentos de trabajo. FIT-Eval, resumido mediante un FIT-Score, describe el poder operativo observable de un agente a través de cinco dimensiones: persistencia del propósito, capacidad de anticipación, autonomía para elegir acciones, compromiso temporal y coherencia entre plan, trazas y conducta. No intenta adivinar una «intención» psicológica ni depende de cadenas de pensamiento privadas; mide lo que el sistema puede hacer y lo que efectivamente hace.
El segundo instrumento es el Margen de Resiliencia.
Es una métrica propuesta, no un estándar industrial. Para que sea comparable, cada término debe normalizarse y apoyarse en medidas observables: tiempo medio de detección y contención, porcentaje de acciones reversibles, herramientas con permiso de escritura, cobertura de trazas, tasa de falsos positivos, eficacia del interruptor de parada y tiempo de recuperación.
La dirección importa más que un decimal. Un sistema mejora cuando reduce el impacto máximo que un agente puede causar y, al mismo tiempo, aumenta su capacidad demostrada para detectar, contener y recuperarse.
Siete decisiones para empezar ahora
- Inventariar cada agente, sus herramientas, credenciales, datos, propietario y acciones posibles.
- Separar lectura y escritura en herramientas e identidades distintas; eliminar permisos concedidos «por si acaso».
- Autorizar fuera del modelo cada acción de consecuencia mediante políticas y límites deterministas.
- Registrar la trayectoria completa: contexto relevante, versión, llamadas a herramientas, identidad, resultado, aprobación y anulación.
- Evaluar ataques y fallos antes de producción, incluyendo inyección indirecta, abuso de herramientas, repetición, recuperación y parada.
- Asignar supervisión por riesgo, reservando la aprobación humana para acciones de alto impacto y evitando puertas simbólicas para todo lo demás.
- Preparar la contención y la recuperación con procedimientos probados, reversibles y un responsable capaz de detener el sistema.
La empresa agéntica no necesita una flota de agentes que se vigilen entre sí sin límites. Necesita una arquitectura en la que ningún componente —humano, modelo o herramienta— concentre toda la confianza.
Ese es el valor real de pensar en términos inmunitarios: pasar de una defensa que intenta evitar cada fallo a un sistema que limita la exposición, reconoce señales, contiene rápido, conserva memoria y mejora sin perder el control.
Fuentes y método
Este artículo presenta la cibernética inmunológica digital como un marco propuesto y distingue sus hipótesis de las prácticas consolidadas.
- OWASP — LLM01: Prompt Injection.
- OWASP — LLM06: Excessive Agency.
- MITRE ATLAS — matriz de amenazas contra sistemas de IA.
- Model Context Protocol — Authorization.
- A2A Protocol — especificación y consideraciones de seguridad.
- NIST — AI RMF Profile on Trustworthy AI in Critical Infrastructure.
- Kay Smarsly, Digital Immune Systems for Civil Infrastructure, IEEE Access, 2026.