Este es el séptimo y último blog de una serie de siete partes sobre la seguridad de la identidad como base de la seguridad de la IA.
Un agente de programación de Replit borró 1206 registros de clientes en segundos. En la filtración de Salesloft Drift, tokens de OAuth permanecieron activos durante meses después de que terminaron sus flujos de trabajo, con lo cual pusieron en riesgo a más de 700 organizaciones. Una filtración pasó por cuatro dominios de confianza antes de que alguien se diera cuenta. En la divulgación de Unit 42 sobre el contrabando de sesiones de agentes, un agente secundario insertó una operación bursátil silenciosa en una respuesta de rutina. Actores estatales chinos usaron Claude Code como arma para el primer ciberataque autónomo a gran escala documentado, dirigido al sector de fabricación química y otros sectores. Cuatro vulnerabilidades CVSS 9.3+ afectaron a Anthropic MCP, Microsoft Copilot, ServiceNow y Salesforce, y todas expusieron la misma brecha: agentes que recuperan datos con los permisos de un usuario y los divulgan a públicos que nunca deberían tener acceso a ellos.
Seis errores diferentes. Una sola causa raíz. Sistemas de identidad y autorización que aún tratan a los agentes como si fueran usuarios.
Entre los 3235 líderes empresariales encuestados en el informe de Deloitte de 2026 sobre el estado de la IA, el 73 % cita la privacidad de datos y la seguridad como el riesgo principal de la IA. Sin embargo, apenas el 21 % cuenta con un modelo de gobernanza desarrollado para agentes autónomos. La IA en la sombra agrega USD 670 000 al costo promedio de las filtraciones.
La respuesta no es agregar otra capa de seguridad tras la implementación. Es rediseñar la identidad y la autorización como un sistema operativo para la confianza autónoma.
El patrón oculto a simple vista
Leído individualmente, cada uno de los errores parece una brecha específica. Un token que caducó o una verificación de ámbito que no se hizo. Sin embargo, al interpretarlos en conjunto, la imagen es totalmente distinta.
Un agente de Replit eliminó 1206 registros en segundos. Con 5000 operaciones por minuto, el consentimiento por acción se convirtió en fatiga del consentimiento. La solución: CIBA para la aprobación asíncrona, Cross App Access para la autorización continua y Token Vault para credenciales de corta duración.
La filtración de Salesloft Drift aprovechó “tokens de OAuth” que permanecieron activos durante meses sin justificación empresarial. Dado que las identidades no humanas superan en número a los humanos en una proporción de 144 a 1, la autoridad delegada permanente sin controles de ciclo de vida es la vulnerabilidad predeterminada. Esta brecha puede cerrarse con Token Vault para actualizar automáticamente y definir el ámbito de los tokens, Identity Governance para el desaprovisionamiento entre sistemas e ISPM para la detección de huérfanos.
La situación empeoró. Una filtración pasó por cuatro dominios de confianza porque ninguna infraestructura de confianza interoperable pudo verificar y revocar el acceso en todos ellos en tiempo real. Cross App Access con linaje ID-JAG, las señales federadas a través de IPSIE y Universal Logout podrían haber resuelto el problema.
Las cadenas de delegación se convirtieron en canales de ataque. El contrabando de sesiones de agentes de Unit 42, la escalada de privilegios entre agentes de Rehberger y la vulnerabilidad EchoLeak (CVE-2025-32711, CVSS 9.3) aprovecharon la misma brecha: la falta de atenuación del ámbito entre cadenas de múltiples delegaciones. Cross App Access con cadenas de validación ID-JAG y Token Vault para la prueba criptográfica de origen pueden abordar este inconveniente.
La autorización se convirtió en una cuestión de seguridad. Actores estatales chinos emplearon Claude Code como arma en lo que Anthropic describió como el primer ciberataque autónomo a gran escala documentado. Una invitación de calendario envenenada secuestró Gemini para controlar activadores de hogares inteligentes. La filtración de credenciales de JLR paralizó las fábricas durante cinco semanas, con un costo de 1900 millones de libras. Este ataque podría haberse evitado o mitigado con CIBA para la intervención humana y FGA para la autorización en tiempo real.
Por último, cuatro vulnerabilidades CVSS 9.3+ afectaron a Anthropic MCP, Microsoft Copilot, ServiceNow y Salesforce. El patrón fue siempre el mismo: agentes que actúan en nombre de varios usuarios sin que haya un método para hacer cumplir las intersecciones de permisos en el canal de salida. La solución habría sido combinar FGA con la intersección batchCheck y Token Vault con credenciales de ámbito definido según el público, y sumarle a eso Identity Governance.
Si prestamos atención a todo el panorama, el patrón se vuelve evidente. Todo problema de seguridad de un agente es un problema de identidad y autorización disfrazado. OpenID Foundation, en su documento técnico Identity Management for Agentic AI (Gestión de identidades de la IA con agentes), definió los casos de uso principales con relación a los desafíos de autorización de los agentes. En esta serie, se asignan esos desafíos a filtraciones del mundo real y a la arquitectura de seguridad en la etapa de producción.
Seis errores, una causa raíz - Identidad y autorización: el sistema operativo para la seguridad de la IA (fuente: Okta, Inc.)
Por qué seis herramientas no pueden hacer el trabajo de una sola capa
La mayoría de las organizaciones están abordando la seguridad de los agentes de la misma manera en que abordaron la nube hace una década. Token Vault aquí, API gateway allá, un panel de gobernanza más allá. Cada herramienta resuelve su propio problema. Ninguna resuelve el sistema.
La diferencia entre la implementación y la gobernanza es notable. El 91 % de las organizaciones ya utilizan agentes de IA, pero solo el 10 % cuenta con una estrategia para gestionar las identidades no humanas. Según McKinsey, el 80 % ya se topó con comportamientos riesgosos de sus agentes. La brecha no está en el reconocimiento, sino en la arquitectura.
Ahora, imaginemos los errores combinados. El contrabando de sesiones de agentes (blog 4) pasa por dominios de confianza (blog 3) en un flujo de trabajo de larga duración con desvío de credenciales (blog 2) y llega a un canal compartido con permisos mixtos (blog 6) a 5000 operaciones por minuto (blog 1) mientras controla la infraestructura física (blog 5). Seis herramientas que no comparten contexto no pueden prevenir errores interrelacionados. Ningún Token Vault puede ver el linaje de delegación. Ningún API gateway conoce la intención humana original. Ningún panel de gobernanza sabe cuánto se expande el ámbito entre delegaciones.
El verdadero riesgo no es la IA en la sombra. Es una IA autorizada que carece de identidad. Al menos, los agentes en la sombra activan las alarmas. Los agentes implementados oficialmente, conectados a sistemas de producción, que se ejecutan con credenciales compartidas y sin gestión del ciclo de vida: esos son los que provocarán las filtraciones.
¿Qué sucede cuando la identidad y la autorización se convierten en la base?
La solución no es tener más herramientas. Es tener una capa que todas las herramientas compartan. Es necesario dejar de tratar a los agentes como usuarios y empezar a considerarlos como principales de primera clase en la infraestructura de IAM. No como una práctica recomendada, sino como un requisito de la arquitectura.
Cuando cada acción del agente está atravesada por la identidad y la autorización, se afianzan cinco propiedades:
- Procedencia. Cada acción se rastrea a un humano responsable y se ven la cadena de delegación, la política y el ámbito. Esto es lo que falló en los blogs 1 y 4. Cross App Access y Token Vault insertan el linaje de delegación y la prueba criptográfica de origen en la carga útil del token.
- Atenuación. Cuando un agente principal delega una tarea en un agente secundario, el ámbito nunca aumenta, sino que disminuye. El contrabando de sesiones de agentes y EchoLeak aprovecharon la ausencia de esta restricción. XAA la aplica estructuralmente mediante la concesión de autorizaciones JWT de afirmación de identidad (ID-JAG), no solamente con la política.
- Evaluación continua. El contexto cambia, el riesgo se modifica y la intención caduca. La filtración de Drift persistió porque la autorización se verificó una sola vez al emitir el token y nunca más. La autorización detallada de Auth0 verifica los permisos en el momento de cada acción.
- Gobernanza del ciclo de vida. Cuando un empleado se va, se revocan sus agentes. El flujo de trabajo se completa y las credenciales caducan. La filtración de JLR convirtió una intrusión en una interrupción de cinco semanas porque nada de esto sucedió. ISPM detecta a cada agente en el entorno y evalúa su riesgo.
- Interoperabilidad. XAA, que ahora forma parte de MCP como “autorización gestionada por la empresa”, estandariza las conexiones seguras de agentes a través de los límites de dominio, cuyo riesgo se expuso en el blog 3. Cada solución se basa en estándares abiertos: OAuth 2.1, OIDC, RFC 8693, CIBA, SCIM, Shared Signals Framework e ID-JAG. La alternativa es el bloqueo de proveedor en la capa de identidad, el único bloqueo que su empresa no puede permitirse.
Estas no son características para evaluar en un cuadro comparativo. Son resultados de la arquitectura que se obtienen cuando la identidad y la autorización se convierten en la base, en lugar de una consideración posterior.
Detectar, incorporar, proteger y gobernar
Okta for AI Agents hace realidad esta arquitectura en cuatro etapas. Cada una está relacionada directamente con los errores mencionados antes:
- Detección. ISPM escanea plataformas de agentes (Bedrock, Copilot Studio, Vertex IA), detecta agentes en la sombra, identifica NHI y señala permisos excesivos. No se puede gobernar lo que no se puede ver.
- Incorporación. Universal Directory y el directorio de agentes de IA proporcionan a cada agente una identidad de primera clase. Lifecycle Management gestiona las solicitudes, aprobaciones, certificaciones y desaprovisionamientos.
- Protección. Los servidores de autorización de OAuth controlan ámbitos y declaraciones. XAA gestiona la delegación entre dominios. Token Vault ofrece credenciales sin secretos. Auth0 FGA implementa permisos en tiempo de ejecución para cada acción.
- Gobierno. La CIBA permite el consentimiento humano vinculado a la criptografía. Identity Governance ejecuta revisiones y recertificaciones de acceso. Universal Logout mediante IPSIE proporciona revocación en menos de un segundo. La telemetría capta las acciones del agente como evidencia para fines normativos.
Okta for AI Agents: el sistema operativo para la seguridad de la IA (fuente: Okta, Inc.)
Tres preguntas antes de su próxima auditoría
- ¿Puede rastrear cada acción del agente hasta el humano que la autorizó? No estamos hablando de un agente. Hablamos de quién lo autorizó, según qué política y con qué ámbito definido. Si la respuesta es no, comience con XAA e ID-JAG para el linaje de delegación.
- ¿Caducan las credenciales cuando termina el trabajo? La filtración de Drift comenzó con tokens que debieron revocarse meses antes. Implemente Token Vault con vencimiento automático.
- ¿Aplican los agentes multiusuario la intersección de permisos? Si sus agentes operan con el ámbito individual más amplio posible en lugar de la superposición más reducida posible, la filtración de datos ocurrirá tarde o temprano. Implemente FGA con políticas basadas en intersecciones.
El costo de esperar
El cerco normativo se está cerrando desde tres direcciones distintas y las sanciones no son hipotéticas.
Los requisitos de la ley europea de IA para sistemas de alto riesgo entrarán en vigencia en agosto de 2026. En el artículo 14, se exige demostrar la supervisión humana de los sistemas autónomos. En el artículo 99, se establecen sanciones de hasta 35 millones de euros o el 7 % de los ingresos anuales globales. Sin cadenas de delegación verificables ni registros de auditoría, el cumplimiento es estructuralmente imposible.
En EE. UU., la Cyber and Emerging Technologies Unit (Unidad de Cibertecnologías y Tecnologías Emergentes, CETU) de la SEC, creada en febrero de 2025, tiene como objetivos explícitos la divulgación de información fraudulenta de ciberseguridad y el fraude posibilitado por la IA. La norma de divulgación de ciberseguridad exige la elaboración de informes sobre ciberincidentes relevantes en un plazo de cuatro días hábiles. Una filtración provocada por un agente que no se puede explicar debido a la inexistencia de un linaje de delegación no es solo un error de seguridad: es un problema de divulgación.
Por último, el RGPD ya acumula 7100 millones de euros en sanciones desde 2018, y su aplicación se extenderá al procesamiento de datos de la IA. Cuando los agentes recuperan y exponen datos personales en espacios de trabajo compartidos (exactamente, el error del blog 6), cada filtración no controlada constituye una posible infracción.
El informe de tendencias de codificación agéntica de 2026 de Anthropic identifica «integrar la arquitectura de seguridad desde las primeras etapas» como una prioridad principal. Es la industria indicando lo que los reguladores pronto requerirán.
Imagine seis meses sin hacer nada. Las credenciales huérfanas se acumulan. Las cadenas de delegación aumentan sin documentarse. La extensión descontrolada de ámbitos se agrava entre los agentes secundarios. Luego, llega la auditoría (o la filtración), y se intenta realizar arqueología forense de decisiones que nadie registró. Sanear cuesta mucho más que prevenir. Y las sanciones cuestan mucho más que todo.
Okta for AI Agents: detecte, incorpore, proteja y gobierne.
La seguridad de los agentes es sinónimo de seguridad de identidad y autorización. No existe otra forma.
Lea la serie completa titulada Seguridad de los agentes de IA: un nuevo diseño de IAM orientado a la confianza autónoma.
Más información: okta.com/solutions/secure-ai | auth0.com/ai
