Qué cambia cuando la IA actúa
Un modelo que responde preguntas se equivoca en texto. Un agente que ejecuta acciones se equivoca en producción. La diferencia no es de grado: abre tickets, altera registros, envía correo, ejecuta comandos y llama API con credencial propia.
Eso desplaza el problema de la seguridad de contenido a la seguridad de acceso. La pregunta deja de ser "qué puede decir" y pasa a ser "qué puede hacer, con qué credencial, sobre qué dato".
La identidad es el problema central
Un agente necesita identidad propia, con permiso mínimo y ciclo de vida. En la práctica, la mayoría corre con la credencial de un humano o con una clave de servicio heredada de otra integración, con un alcance mucho mayor del que la tarea exige.
Cuando eso pasa, se pierden tres cosas a la vez. La traza de auditoría no distingue lo que hizo el agente de lo que hizo la persona. La revocación se vuelve todo o nada. Y el radio de alcance de un compromiso pasa a ser el del humano, no el de la tarea.
Controles que importan
Alcance por tarea, no por agente. Un agente que resume tickets no necesita permiso de escritura.
Aprobación humana para acción irreversible. Borrar, transferir, publicar y conceder acceso son categorías donde la confirmación vale la fricción.
Registro del razonamiento detrás de una acción, y no únicamente de lo que salió de ella. Sin la cadena de decisión no se puede investigar el error después.
Y límite de encadenamiento. Un agente que llama a otro agente multiplica el alcance sin multiplicar la supervisión.
La superficie que crea el agente
Todo agente en producción añade un endpoint, una clave y una integración. Eso es un activo nuevo, y un activo nuevo entra en la superficie externa como cualquier otro, con el agravante de que suele publicarlo un equipo que no es el de seguridad. Es el mismo patrón del shadow AI, con permiso de escritura.