La arquitectura diseñada para evaluar solicitudes individuales no puede rastrear cadenas de acciones ensambladas estratégicamente por máquinas que heredan privilegios sin identidad reconocida.
El marco de seguridad que durante años fue presentado como la respuesta a entornos distribuidos y hostiles enfrenta ahora un problema de diseño fundamental: los agentes de IA autónomos operan de manera opuesta a los principios sobre los que se construyó zero trust. Mientras los directorios corporativos siguen midiendo el retorno de inversión de estos agentes en términos de productividad, los equipos de seguridad cargan con la responsabilidad de todo lo que sale mal — dos balances completamente distintos evaluando la misma tecnología, según advierte Nik Kale, miembro de la Coalition for Secure AI y del comité de seguridad de IA de ACM.
Cómo una secuencia de permisos válidos construye una ruta de exfiltración
Zero trust fue diseñado para evaluar solicitudes una por una, un modelo que funciona cuando quien solicita acceso no está ensamblando estratégicamente esas autorizaciones en algo mayor. Los agentes de IA cambian esa premisa. Un agente puede recibir autorización para leer un documento, consultar otra fuente de datos, resumir hallazgos, escribir en un archivo y enviar un correo externo — cada decisión correcta de manera individual, pero la secuencia completa termina autorizando una ruta de exfiltración que ningún responsable habría aprobado de manera consciente.
El paralelo con sistemas financieros es directo: diez transacciones pueden estar cada una bajo el umbral de escalación, pero el total acumulado nunca habría sido firmado por un humano. La pregunta que zero trust no puede responder es si la entidad que usa una identidad aprobada hoy sigue siendo la misma que fue autorizada originalmente. Actualizar el modelo, agregar una herramienta detrás de la misma interfaz, dejar que la memoria se llene con contexto no revisado o delegar funciones — nada de eso toca la identidad registrada, pero el viernes puede haber una máquina materialmente distinta operando con la credencial aprobada el lunes.
El agujero de comunicación agente-a-agente que ningún proveedor resolvió
Los agentes autorizados pueden generar subagentes que heredan todos los privilegios del originador sin una identidad reconocida por los sistemas de control. Estos agentes también pueden comunicarse entre sí, potencialmente intercambiando instrucciones maliciosas en canales que los equipos de seguridad no pueden inspeccionar. Este agujero de seguridad es ampliamente conocido desde hace al menos un año, pero ningún proveedor ha entregado un mecanismo para penetrar el secreto de esas comunicaciones agente-a-agente. En el mejor de los casos, los sistemas pueden detectar que ocurrió una comunicación, pero no qué se dijo.
La estrategia convencional para controlar la actividad de agentes es requerir que cada uno sea registrado por equipos de TI o seguridad, recibiendo una identidad que luego se valida en cada acción. La realidad en entornos empresariales es que la mayoría abrumadora de agentes no están registrados — ya sea porque fueron desplegados por trabajadores que no completaron el proceso formal de aprobación, o porque terceros con credenciales válidas los lanzaron sin solicitar permiso. El modelo de gobernanza apunta a la capa incorrecta: controla solo a la minoría que cumple, no al ochenta por ciento que opera fuera del inventario oficial.
Por qué América Latina hereda el riesgo sin heredar las herramientas de detección
La adopción acelerada de plataformas de IA generativa en sectores financieros y de servicios en Brasil, México y Argentina replica el mismo patrón de presión ejecutiva por resultados inmediatos que está dejando a los equipos de seguridad sin capacidad de auditoría efectiva. Bancos regionales que implementaron asistentes de IA para atención al cliente o análisis de riesgo crediticio enfrentan el mismo dilema: los agentes que procesan datos sensibles de clientes pueden estar generando subagentes no registrados o comunicándose con otros sistemas sin que exista visibilidad sobre el contenido de esos intercambios. La dependencia de proveedores globales de infraestructura cloud amplifica el problema — las herramientas de monitoreo que podrían ofrecer algún nivel de inspección de comportamiento de agentes todavía no están disponibles en versiones localizadas o adaptadas a marcos regulatorios regionales como la Ley de Protección de Datos Personales en Brasil.
Nuestro análisis
El conflicto entre zero trust y agentes autónomos no es un problema de implementación deficiente — es una incompatibilidad de diseño. Zero trust asume que las identidades son estables y que las solicitudes de acceso son discretas y evaluables de manera independiente. Los agentes de IA operan ensamblando secuencias de acciones autorizadas en patrones que ningún humano revisó como conjunto, y evolucionan sin que esa evolución quede registrada en el sistema de identidades. La brecha entre lo que los directorios miden (productividad del agente) y lo que seguridad debe prevenir (comportamiento emergente no autorizado) refleja un desajuste estructural que no se resuelve con más capas de autenticación.
Lo que todavía no se sabe es si los equipos de seguridad lograrán alguna vez visibilidad real sobre las comunicaciones agente-a-agente, o si ese canal permanecerá opaco mientras los atacantes aprenden a fragmentar instrucciones maliciosas entre múltiples agentes para evitar umbrales de detección. La pregunta que queda abierta es si las organizaciones están dispuestas a aceptar que el modelo de control basado en inventarios completos de identidades aprobadas ya no es viable — y qué marco alternativo podría reemplazarlo cuando la mayoría de los agentes operan fuera de cualquier registro formal.