Seguridad de IA Agéntica: Guía OWASP Top 10 para Empresas en 2026
Guía completa para asegurar agentes de IA autónomos. Descubra el OWASP Top 10 para Aplicaciones Agénticas e implemente una gobernanza efectiva.
QAIZEN
Equipo de Gobernanza IA
IA Agéntica
Sistemas de IA capaces de planificación autónoma, toma de decisiones y ejecución de acciones en múltiples pasos y herramientas. A diferencia de los LLM tradicionales que responden a prompts únicos, la IA agéntica puede perseguir objetivos, mantener estado y delegar tareas a otros agentes o herramientas.
2,6-4,4T$
de valor anual que la IA agéntica ayudaría a desbloquear
Source: McKinsey Oct 2025
80%
de las organizaciones dicen haber encontrado comportamientos de riesgo de agentes IA
Source: McKinsey Oct 2025
9
escenarios de ataque demostrados en aplicaciones CrewAI y AutoGen
Source: Unit 42 2025
- OWASP publicó el Top 10 para Aplicaciones Agénticas el 9 de diciembre de 2025
- La IA agéntica introduce nuevas superficies de ataque más allá de los riesgos LLM tradicionales
- El 80% de las organizaciones dicen haber encontrado ya comportamientos de riesgo de agentes IA (McKinsey 2025)
- La gobernanza en tiempo de ejecución es esencial - los controles pre-despliegue son insuficientes
- Explosión de identidades: cada agente necesita credenciales únicas, lo que complica su gestión
La Revolución de la IA Agéntica
La IA agéntica representa un cambio fundamental de asistentes IA reactivos a sistemas autónomos capaces de planificar, decidir y actuar. McKinsey señala que se proyecta que los sistemas de IA agéntica ayuden a desbloquear entre 2,6 y 4,4 billones de dólares anuales en valor en más de 60 casos de uso de IA generativa.
El riesgo ya es visible: en el mismo playbook, McKinsey informa que el 80% de las organizaciones dicen haber encontrado comportamientos de riesgo de agentes IA, incluida la exposición indebida de datos y el acceso a sistemas sin autorización.
A diferencia de los LLM tradicionales que responden a prompts únicos, los sistemas de IA agéntica pueden:
- Perseguir objetivos en múltiples pasos durante períodos prolongados
- Acceder y usar herramientas externas (APIs, bases de datos, sistemas de archivos)
- Delegar tareas a otros agentes
- Mantener memoria persistente entre sesiones
- Tomar decisiones sin supervisión humana
Esta autonomía crea superficies de ataque completamente nuevas que el proyecto OWASP GenAI Security abordó con su Top 10 para Aplicaciones Agénticas, publicado el 9 de diciembre de 2025.
El OWASP Top 10 para Aplicaciones Agénticas
OWASP ilustra cada entrada con incidentes que ya han ocurrido. Los nombres siguen la lista oficial; las mitigaciones son nuestro propio resumen práctico.
ASI01 - Secuestro de Objetivo del Agente (Agent Goal Hijack)
El Riesgo: Los atacantes manipulan los objetivos de un agente para que persiga acciones no intencionadas. El ejemplo de referencia de OWASP es EchoLeak, donde prompts ocultos convirtieron un copiloto en un motor de exfiltración silencioso.
| Vector de Ataque | Impacto | Ejemplo Documentado |
|---|---|---|
| Inyección de prompt vía documentos o correos | El agente realiza acciones no autorizadas | EchoLeak (CVE-2025-32711) |
| Instrucciones ocultas en una página web | Historial de conversación exfiltrado | Demostración de Unit 42 en CrewAI y AutoGen |
| Deriva de objetivo multi-paso | Comportamiento no autorizado acumulativo | Patrón a probar en red teaming |
Mitigación:
- Implementar validación de objetivos en cada paso
- Usar especificaciones de objetivos inmutables
- Monitorear patrones de deriva de objetivos
ASI02 - Uso Indebido de Herramientas (Tool Misuse)
El Riesgo: Los agentes usan herramientas legítimas de manera no segura o no autorizada. OWASP cita el incidente de Amazon Q, donde un agente desvió herramientas legítimas hacia resultados destructivos.
Ejemplo ilustrativo: un agente de procesamiento de facturas engañado para enviar documentos sensibles a destinatarios externos usando su capacidad legítima de envío de emails.
Mitigación:
- Implementar controles de acceso a nivel de herramienta
- Aislar todas las ejecuciones de herramientas
- Registrar y auditar todas las invocaciones de herramientas
ASI03 - Abuso de Identidad y Privilegios
El Riesgo: Los agentes escalan privilegios reutilizando o heredando credenciales; credenciales filtradas les permiten operar mucho más allá de su alcance previsto.
Esto crea el problema de "explosión de identidades" - cada agente potencialmente requiere credenciales únicas, haciendo la gestión de identidades mucho más compleja.
Mitigación:
- Implementar privilegio mínimo para todos los agentes: denegar por defecto, permitir explícitamente
- Usar tokens de corta duración y alcance limitado
- Nunca compartir credenciales entre agentes
ASI04 - Vulnerabilidades de Cadena de Suministro Agéntica
El Riesgo: Compromiso a través de componentes de terceros, plugins, herramientas o APIs de modelos.
OWASP cita el exploit de GitHub MCP (Model Context Protocol) como ejemplo: los ecosistemas dinámicos MCP y agente-a-agente mostraron con qué facilidad se pueden envenenar los componentes en tiempo de ejecución.
Mitigación:
- Auditar todos los componentes de terceros
- Implementar firmas de componentes
- Monitorear anomalías en la cadena de suministro
ASI05 - Ejecución de Código Inesperada
El Riesgo: Rutas de ejecución en lenguaje natural llevan al agente a ejecutar código sin validación apropiada. El ejemplo de OWASP es una ejecución remota de código en AutoGPT.
Mitigación:
- Aislar toda ejecución de código
- Validar todas las entradas antes de ejecución
- Implementar sanitización de salidas
ASI06 - Envenenamiento de Memoria y Contexto
El Riesgo: Corrupción de la memoria o contexto del agente para influir en su comportamiento futuro, mucho después de la interacción inicial.
| Tipo de Memoria | Ataque | Impacto |
|---|---|---|
| Corto plazo | Inyección vía conversación | Influencia inmediata |
| Largo plazo (RAG) | Envenenamiento de documentos | Backdoors persistentes |
| Memoria de trabajo | Manipulación de contexto | Deriva de objetivos |
ASI07 - Comunicación Inter-Agente Insegura
El Riesgo: Vulnerabilidades en cómo los agentes se comunican y delegan tareas. OWASP describe mensajes inter-agente suplantados que desviaron grupos enteros de agentes.
Cuando los agentes pueden comunicarse entre sí, los atacantes pueden:
- Espiar el tráfico entre agentes
- Suplantar agentes de confianza
- Alterar mensajes para manipular objetivos
ASI08 - Fallos en Cascada
El Riesgo: Una señal falsa o una sola acción defectuosa se propaga por pipelines automatizados con un impacto creciente.
Los límites de aislamiento reducen hasta dónde puede propagarse un fallo:
| Brecha de Aislamiento | Impacto |
|---|---|
| Sin aislamiento de red | Exfiltración de datos |
| Sistema de archivos compartido | Contaminación entre agentes |
| Sin límites de recursos | Denegación de servicio |
ASI09 - Explotación de la Confianza Humano-Agente
El Riesgo: Explicaciones seguras y pulidas llevan a operadores humanos a aprobar acciones dañinas.
Mejor Práctica: Para acciones de alto impacto, exigir que el agente muestre la evidencia detrás de su solicitud, no solo su explicación, y aprobar con base en esa evidencia.
ASI10 - Agentes Descontrolados (Rogue Agents)
El Riesgo: Agentes que muestran desalineación, ocultamiento o acciones autodirigidas. El ejemplo de OWASP es el incidente de Replit.
Detectar un agente descontrolado depende del registro:
| Brecha de Registro | Impacto |
|---|---|
| Sin registro de prompts | Imposible investigar brechas |
| Sin logs de llamadas a herramientas | Ciego a las acciones de los agentes |
| Sin seguimiento de objetivos | Imposible detectar la deriva |
Por Qué se Estancan los Proyectos de IA Agéntica
No existe una cifra pública fiable sobre la tasa de fracaso de los proyectos de IA agéntica, así que no citamos ninguna. El lado del riesgo está documentado (ver McKinsey arriba); las razones por las que los proyectos se estancan se repiten:
| Factor de Fracaso | Causa Raíz |
|---|---|
| Seguridad/gobernanza inadecuada | Tratar agentes como simples LLM |
| Subestimar la complejidad de integración | Complejidad de herramientas y APIs |
| Selección incorrecta de caso de uso | Empezar horizontal, no vertical |
| Gestión del cambio insuficiente | Desafíos de adopción de usuarios |
Lo que Comparten los Proyectos Exitosos
- Reinvención de procesos - No solo conectar IA a flujos de trabajo existentes
- Gobernanza fuerte - Seguridad y cumplimiento desde el primer día
- Casos de uso correctos - Empezar con aplicaciones verticales, específicas del dominio
- Inversión en gestión del cambio - Programas de formación y adopción
- Planificación TCO adecuada - Presupuestar los costes reales de operación, no solo el piloto
Gobernanza en Tiempo de Ejecución: La Diferencia Crítica
La gobernanza IA tradicional se enfoca en controles pre-despliegue: fichas de modelo, pruebas de sesgo, documentación. Para la IA agéntica, esto es insuficiente.
| Tipo de Gobernanza | LLM Tradicional | IA Agéntica |
|---|---|---|
| Revisión pre-despliegue | Suficiente | Insuficiente |
| Monitoreo en ejecución | Opcional | Crítico |
| Validación de objetivos | N/A | Requerida |
| Autorización de herramientas | N/A | Por acción |
| Protección de memoria | Prioridad baja | Prioridad alta |
Cómo Se Ve la Gobernanza en Tiempo de Ejecución
Escenarios de Ataque Demostrados
Unit 42 de Palo Alto Networks construyó dos aplicaciones funcionalmente idénticas, una con CrewAI y otra con AutoGen, y ejecutó nueve escenarios de ataque concretos contra ambas. Ejemplos:
| Escenario de Ataque | Lo que Obtiene el Atacante |
|---|---|
| Extracción de instrucciones de los agentes | El prompt de sistema y las tareas de cada agente |
| Acceso no autorizado a la red interna | Recursos internos mediante una herramienta de lectura web |
| Exfiltración vía un volumen montado | Archivos leídos desde el montaje del intérprete de código |
| Exfiltración de un token de cuenta de servicio | Un token de cuenta de servicio cloud |
| Explotación de inyección SQL a través de una herramienta | Contenido de la base de datos |
| Inyección de prompt indirecta vía una página web | El historial de conversación del usuario |
Unit 42 subraya que ninguno de los dos frameworks es vulnerable en sí mismo: los ataques funcionan por patrones de diseño inseguros, configuraciones erróneas e integraciones de herramientas inseguras. No fueron experimentos mentales: Unit 42 los ejecutó de principio a fin en aplicaciones funcionales y publicó el código como open source.
Hoja de Ruta de Implementación
Fase 1: Evaluación (Semanas 1-2)
- Pendiente: Inventariar despliegues de agentes existentes y planificados
- Pendiente: Mapear capacidades y permisos de los agentes
- Pendiente: Identificar casos de uso de alto riesgo
- Pendiente: Evaluar los controles de seguridad actuales
Fase 2: Arquitectura (Semanas 2-4)
- Pendiente: Diseñar límites de aislamiento
- Pendiente: Planificar la gestión de identidades y accesos
- Pendiente: Definir políticas de autorización de herramientas
- Pendiente: Establecer requisitos de registro
Fase 3: Controles (Semanas 4-8)
- Pendiente: Implementar gobernanza en tiempo de ejecución
- Pendiente: Desplegar monitoreo y alertas
- Pendiente: Configurar sandboxing
- Pendiente: Habilitar registro completo
Fase 4: Validación (Semanas 8-12)
- Pendiente: Pruebas de red team (ver la guía Agentic AI Red Teaming de la CSA)
- Pendiente: Pruebas de penetración de sistemas de agentes
- Pendiente: Validar capacidades de detección
- Pendiente: Documentar procedimientos de respuesta a incidentes
Conclusión
La IA agéntica ofrece un potencial transformador, pero el panorama de seguridad es fundamentalmente diferente al de la IA tradicional. El OWASP Top 10 para Aplicaciones Agénticas ofrece a los equipos un marco revisado por pares a escala global para abordar estos riesgos.
Puntos clave:
- La IA agéntica necesita gobernanza en tiempo de ejecución - Los controles pre-despliegue no son suficientes
- La explosión de identidades es real - Cada agente necesita credenciales únicas y acotadas
- Los comportamientos de riesgo de los agentes ya son comunes - El 80% de las organizaciones dicen haberlos encontrado (McKinsey)
- La gobernanza es lo que hace desplegables a los agentes - Controles listos antes de que el agente actúe, no después de un incidente
- OWASP proporciona la hoja de ruta - Siga el Top 10 para Aplicaciones Agénticas
La pregunta no es si adoptar IA agéntica - el potencial de valor es demasiado significativo para ignorarlo. La pregunta es si sus controles estarán listos antes de que sus agentes empiecen a actuar sobre sus sistemas.
Evalúa Tus Riesgos de Shadow AI
1 de cada 5
organizaciones reportó una brecha debida al Shadow AI (IBM)
+670K$
más de costo medio por brecha, Shadow AI alto vs bajo/nulo (IBM)
40%+
de empresas tendrán incidentes de seguridad o cumplimiento por Shadow AI para 2030 (Gartner)
Puntuación de gobernanza en 5 dimensiones. Las brechas que la explican. Hoja de ruta EU AI Act incluida.
Sin email requerido • Resultados instantáneos
Fuentes
- [1]OWASP GenAI Security Project. "OWASP Top 10 for Agentic Applications". OWASP, 9 de diciembre de 2025.genai.owasp.org
- [2]McKinsey. "Deploying agentic AI with safety and security". McKinsey & Company, 16 de octubre de 2025.mckinsey.com
- [3]Unit 42. "AI Agents Are Here. So Are the Threats.". Palo Alto Networks, 1 de mayo de 2025.unit42.paloaltonetworks.com
- [4]Cloud Security Alliance. "Agentic AI Red Teaming Guide". Cloud Security Alliance, 28 de mayo de 2025.cloudsecurityalliance.org
- [5]John Sotiropoulos, Keren Katz, Ron F. Del Rosario. "OWASP Top 10 for Agentic Applications – The Benchmark for Agentic Security in the Age of Autonomous AI". OWASP GenAI Security Project, 9 de diciembre de 2025.genai.owasp.org