{"id":756,"date":"2026-03-21T23:41:47","date_gmt":"2026-03-21T22:41:47","guid":{"rendered":"https:\/\/rosmarops.com\/?p=756"},"modified":"2026-10-25T10:18:12","modified_gmt":"2026-10-25T09:18:12","slug":"el-agente-ya-no-asiste-ejecuta-el-ataque-completo","status":"publish","type":"post","link":"https:\/\/rosmarops.com\/es\/blog\/el-agente-ya-no-asiste-ejecuta-el-ataque-completo\/","title":{"rendered":"El agente ya no asiste: ejecuta el ataque completo"},"content":{"rendered":"\n

Durante a\u00f1os, el debate sobre IA y ciberseguridad gir\u00f3 en torno a capacidades futuras: qu\u00e9 podr\u00eda hacer un modelo si alguien lo pusiera en las manos equivocadas, qu\u00e9 umbrales habr\u00eda que cruzar, qu\u00e9 guardarra\u00edles bastar\u00edan. Ese debate qued\u00f3 zanjado en noviembre de 2025. Lo que se document\u00f3 entonces no fue un experimento ni una prueba de concepto: fue una campa\u00f1a de ciberespionaje real, operada en un porcentaje dominante por un agente de IA<\/a> actuando de forma aut\u00f3noma. La pregunta ya no es si los agentes pueden usarse como arma. Es qu\u00e9 significa eso para quienes tienen que defender sistemas, evaluar riesgos o dise\u00f1ar arquitecturas de confianza.<\/p>\n\n\n\n

La anatom\u00eda del primer ataque ag\u00e9ntico documentado<\/h2>\n\n\n\n

El flujo de trabajo fue deliberado y escalable. Seg\u00fan el informe publicado por Anthropic<\/a> el 13 de noviembre de 2025, los atacantes construyeron un framework dise\u00f1ado para comprometer objetivos de forma aut\u00f3noma, con m\u00ednima intervenci\u00f3n humana. Usaron Claude Code como herramienta automatizada para llevar a cabo operaciones cibern\u00e9ticas. Para convencer al modelo \u2014entrenado para evitar comportamientos da\u00f1inos\u2014 lo jailbreakearon dividiendo las tareas en fragmentos aparentemente inocentes que el modelo ejecutaba sin contexto completo de su prop\u00f3sito.<\/p>\n\n\n\n

El agente identific\u00f3 y prob\u00f3 vulnerabilidades escribiendo su propio c\u00f3digo de explotaci\u00f3n, cosech\u00f3 credenciales, extrajo grandes vol\u00famenes de datos privados y los categoriz\u00f3 seg\u00fan su valor de inteligencia, identific\u00f3 cuentas de alto privilegio, cre\u00f3 backdoors y exfiltr\u00f3 informaci\u00f3n con supervisi\u00f3n humana espor\u00e1dica \u2014quiz\u00e1 cuatro o seis puntos cr\u00edticos de decisi\u00f3n por toda la campa\u00f1a\u2014. En el pico de actividad, la IA realiz\u00f3 miles de solicitudes, a menudo m\u00faltiples por segundo, ejecutando de forma aut\u00f3noma entre el 80 y el 90% de la operaci\u00f3n. Una velocidad que habr\u00eda sido, para operadores humanos, sencillamente imposible de igualar.<\/p>\n\n\n\n

El sistema no fue perfecto: en ocasiones alucin\u00f3 credenciales o afirm\u00f3 haber extra\u00eddo informaci\u00f3n sensible que era en realidad de acceso p\u00fablico. Pero lo cr\u00edtico no es la perfecci\u00f3n. Es el cambio de rol. La IA dej\u00f3 de generar sugerencias para ejecutar instrucciones de exploit, movimiento lateral, categorizaci\u00f3n de datos robados y exfiltraci\u00f3n con autonom\u00eda decisional propia. Eso es cualitativamente distinto de todo lo anterior.<\/p>\n\n\n\n

Por qu\u00e9 los agentes ampl\u00edan la superficie de riesgo de forma exponencial<\/h2>\n\n\n\n

La diferencia entre un LLM est\u00e1ndar y un agente de IA radica en la acci\u00f3n persistente. Los LLMs generan texto. Los agentes hacen cosas: acceden a bases de datos, llaman APIs, escriben c\u00f3digo ejecutable, modifican configuraciones, env\u00edan correos. Cuando un sistema de IA puede operar a trav\u00e9s de aplicaciones, encadenar herramientas y actuar sin supervisi\u00f3n constante, las implicaciones de seguridad cambian de categor\u00eda. Un solo compromiso puede propagarse en cascada a trav\u00e9s de sistemas cr\u00edticos de formas que los controles convencionales nunca fueron dise\u00f1ados para manejar.<\/p>\n\n\n\n

La adopci\u00f3n est\u00e1 aceler\u00e1ndose sin que la madurez de seguridad la siga al mismo ritmo. Y cuando los sistemas multi-agente fallan, fallan en cascada: un \u00fanico agente comprometido puede envenenar la toma de decisiones de toda la red en pocas horas. Diagnosticar la causa ra\u00edz de ese tipo de fallo, sin observabilidad profunda en los logs de comunicaci\u00f3n inter-agente, es extraordinariamente dif\u00edcil.<\/p>\n\n\n\n

El desaf\u00edo epist\u00e9mico: detectar lo que parece leg\u00edtimo<\/h2>\n\n\n\n

Lo que hace este tipo de ataque especialmente insidioso es que no se parece a un ataque.<\/p>\n\n\n\n

Johann Rehberger, investigador de seguridad que publica bajo el nombre Embrace The Red<\/a>, dedic\u00f3 el mes de agosto de 2025 a publicar una vulnerabilidad de prompt injection por d\u00eda en distintas plataformas: ChatGPT, Claude Code, GitHub Copilot, Cursor, Devin. La consecuencia pr\u00e1ctica de ese trabajo es que la prompt injection \u2014la t\u00e9cnica de embeber instrucciones ocultas en datos que un modelo procesa como comandos\u2014 se convierte en un vector de compromiso de sistema completo. Un atacante embebe instrucciones en una p\u00e1gina web, un documento o la salida de una herramienta. El agente lee el contenido, sigue la instrucci\u00f3n embebida, accede a credenciales y las env\u00eda a un endpoint controlado por el atacante. Sin binario de malware. Sin c\u00f3digo de exploit. Solo texto que el modelo interpreta como instrucciones.<\/p>\n\n\n\n

Las herramientas tradicionales de detecci\u00f3n y respuesta en endpoints buscan binarios maliciosos, comportamiento de procesos sospechosos e indicadores conocidos de compromiso. Los ataques de agentes de IA no tienen nada de esto. El \u00abexploit\u00bb es texto. El \u00abpayload\u00bb es una instrucci\u00f3n en lenguaje natural. El \u00abmecanismo de entrega\u00bb es un documento o una p\u00e1gina web que el agente procesa como parte de su flujo de trabajo normal.<\/p>\n\n\n\n

Esto obliga a repensar el modelo completo de threat hunting. No buscas archivos .exe sospechosos ni tr\u00e1fico de red an\u00f3malo. Buscas sem\u00e1ntica adversarial embebida en contenido aparentemente leg\u00edtimo.<\/p>\n\n\n\n

Marcos emergentes: del ad hoc a la garant\u00eda formal<\/h2>\n\n\n\n

La respuesta t\u00e9cnica y regulatoria lleva meses aceler\u00e1ndose. En enero de 2026, NIST public\u00f3 una solicitud de informaci\u00f3n<\/a> sobre consideraciones de seguridad para sistemas de agentes de IA, reconociendo expl\u00edcitamente que sus vulnerabilidades pueden impactar infraestructura cr\u00edtica o derivar en da\u00f1os catastr\u00f3ficos. No es lenguaje de laboratorio: es el reconocimiento oficial de que los riesgos de los agentes ya no son especulativos.<\/p>\n\n\n\n

En paralelo, MITRE ATLAS<\/a> ampli\u00f3 su cobertura en octubre de 2025 con catorce nuevas t\u00e9cnicas enfocadas en agentes \u2014desarrolladas en colaboraci\u00f3n con Zenity Labs, alcanzando 66 t\u00e9cnicas y 46 subt\u00e9cnicas en total\u2014 y el OWASP public\u00f3 en diciembre de 2025 el Top 10 para <\/a>aplicaciones <\/a>ag\u00e9nticas<\/a>. Lo relevante no es la proliferaci\u00f3n de frameworks, sino la direcci\u00f3n que se\u00f1alan: el campo est\u00e1 pasando de fiabilidad ad hoc \u2014arreglar lo que falla\u2014 a garant\u00edas verificables, definidas antes de que el sistema opere. Propuestas como la de aplicar System-Theoretic Process Analysis a flujos de trabajo de agentes<\/a> apuntan exactamente en esa direcci\u00f3n: derivar requisitos de seguridad formalizables sobre flujos de datos y secuencias de herramientas, antes de que el agente entre en producci\u00f3n.<\/p>\n\n\n\n

El problema es que la velocidad de adopci\u00f3n empresarial y la velocidad de madurez de los marcos no van a la par. Y en ese intervalo es donde ocurren los incidentes.<\/p>\n\n\n\n

Qu\u00e9 queda pendiente<\/h2>\n\n\n\n

El incidente documentado por Anthropic no es una excepci\u00f3n. Es el primer caso p\u00fablicamente confirmado de una categor\u00eda que va a crecer. La pregunta relevante, para quien trabaja en seguridad o dise\u00f1a sistemas con agentes embebidos, no es ya si esto puede pasar. Es si los entornos en los que opera tienen la observabilidad suficiente para detectarlo, los l\u00edmites de herramientas adecuados para contenerlo, y los modelos de amenaza actualizados para anticiparlo.<\/p>\n\n\n\n

Hay una capa de riesgo que los frameworks de seguridad convencionales todav\u00eda no cubren bien: la sem\u00e1ntica adversarial en los datos que los agentes procesan. Ni los EDR, ni los WAF, ni las pol\u00edticas de acceso m\u00ednimo resuelven el problema de un agente que sigue instrucciones embebidas en un PDF de aspecto inocente. Esa brecha \u2014entre lo que los agentes pueden hacer y lo que los sistemas de detecci\u00f3n pueden ver\u2014 es el espacio donde vale la pena trabajar.<\/p>\n","protected":false},"excerpt":{"rendered":"

Durante a\u00f1os, el debate sobre IA y ciberseguridad gir\u00f3 en torno a capacidades futuras: qu\u00e9 podr\u00eda hacer un modelo si alguien lo pusiera en las manos equivocadas, qu\u00e9 umbrales habr\u00eda que cruzar, qu\u00e9 guardarra\u00edles bastar\u00edan. Ese debate qued\u00f3 zanjado en noviembre de 2025. Lo que se document\u00f3 entonces no fue un experimento ni una prueba … Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":1,"featured_media":762,"comment_status":"closed","ping_status":"closed","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,9,59,66,68],"tags":[100,245,267,270],"class_list":["post-756","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-agentes-autonomia","category-ataques-sobre-llms","category-prompt-injection","category-seguridad-de-agentes-ia","category-seguridad-llm","tag-ataques-sobre-llms","tag-prompt-injection","tag-seguridad-de-agentes-ia","tag-seguridad-llm"],"_links":{"self":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/756","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/comments?post=756"}],"version-history":[{"count":1,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/756\/revisions"}],"predecessor-version":[{"id":1035,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/756\/revisions\/1035"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media\/762"}],"wp:attachment":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media?parent=756"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/categories?post=756"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/tags?post=756"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}