El 8 de enero de 2026, el Centro para Est\u00e1ndares e Innovaci\u00f3n en IA (CAISI) del NIST public\u00f3 una solicitud formal de informaci\u00f3n dirigida a desarrolladores, investigadores y operadores de sistemas ag\u00e9nticos. No es una gu\u00eda. No es una normativa. Es una pregunta abierta: \u00bfc\u00f3mo medimos la seguridad de algo que toma decisiones aut\u00f3nomas, usa herramientas reales y puede desplegarse sin supervisi\u00f3n humana?<\/p>\n\n\n\n
La pregunta no es ret\u00f3rica. Es estructural. Y que el NIST la haga p\u00fablicamente, pidiendo respuestas al sector, es en s\u00ed mismo un dato.<\/p>\n\n\n\n
Seg\u00fan el documento publicado por el CAISI en el Federal Register<\/a>, los sistemas ag\u00e9nticos consisten en al menos un modelo generativo y software de andamiaje que equipa al modelo con herramientas para tomar acciones discrecionales, pudiendo desplegarse con poca o ninguna supervisi\u00f3n humana. La implicaci\u00f3n es directa: si los riesgos no se abordan, estas vulnerabilidades pueden derivar en amenazas sobre infraestructuras cr\u00edticas, incluyendo el desarrollo o uso de armas CBRNE.<\/p>\n\n\n\n Lo que hace distinto este escenario no es la potencia del modelo base. Es la combinaci\u00f3n de autonom\u00eda, acceso a herramientas y persistencia. Seg\u00fan el informe Cisco State of AI Security 2026<\/em><\/a>, el 83% de las organizaciones planea desplegar capacidades ag\u00e9nticas en sus operaciones, pero solo el 29% declara estar preparada para asegurar esos despliegues. La brecha existe, en parte, porque los ataques no se parecen a lo que las herramientas tradicionales est\u00e1n dise\u00f1adas para detectar. El exploit es texto. El payload es una instrucci\u00f3n en lenguaje natural. El vector de entrega es un documento, una p\u00e1gina web o la salida de una herramienta que el agente procesa como parte de su flujo de trabajo normal.<\/p>\n\n\n\n Las defensas convencionales buscan binarios maliciosos, comportamiento an\u00f3malo de procesos, indicadores de compromiso conocidos. Los ataques a agentes no tienen ninguna de esas propiedades.<\/p>\n\n\n\n En sistemas multi-agente, el riesgo de propagaci\u00f3n sem\u00e1ntica es cualitativamente diferente al riesgo de un exploit cl\u00e1sico: la memoria de un agente se convierte en entrada para otro, y la contaminaci\u00f3n puede replicarse a trav\u00e9s de la red de razonamiento sin dejar rastro binario. No hay malware. No hay escalaci\u00f3n de privilegios visible. El sistema registra acciones autorizadas. El modelo ejecut\u00f3 lo que interpret\u00f3 como su tarea.<\/p>\n\n\n\n Esto tambi\u00e9n transforma el movimiento lateral. Como se\u00f1ala Brian Krebs en KrebsOnSecurity<\/a> \u2014citando investigaci\u00f3n de Orca Security\u2014, los agentes IA ofrecen a los atacantes un camino m\u00e1s directo para moverse lateralmente dentro de la red de una v\u00edctima tras el compromiso inicial: manipulando agentes que ya tienen acceso confiable y cierto grado de autonom\u00eda. Las organizaciones deben a\u00f1adir un tercer pilar a su estrategia defensiva: limitar la \u00abfragilidad IA\u00bb, la capacidad de los sistemas ag\u00e9nticos de ser influenciados, enga\u00f1ados o silenciosamente armados a trav\u00e9s de flujos de trabajo.<\/p>\n\n\n\n La analog\u00eda cl\u00e1sica \u2014detectar, contener, remediar\u2014 asume que puedes ver el ataque mientras ocurre. Cuando un agente con acceso a CLI de AWS ejecuta comandos de eliminaci\u00f3n leg\u00edtimos bajo instrucciones inyectadas desde un archivo README contaminado, lo que se registra es una acci\u00f3n autorizada. No hay nada que detectar con las herramientas habituales.<\/p>\n\n\n\n La solicitud del NIST pregunta expl\u00edcitamente por metodolog\u00edas de medici\u00f3n y mejora del desarrollo seguro de agentes. Esa formulaci\u00f3n importa: no pide mitigaciones post-despliegue, sino frameworks de dise\u00f1o que incorporen seguridad desde la fase de especificaci\u00f3n. El riesgo no emerge cuando un agente falla. Emerge cuando un agente funciona perfectamente dentro de un modelo de amenaza que nadie defini\u00f3.<\/p>\n\n\n\n En su respuesta formal al RFI<\/a>, el Centro sobre Cibern\u00e9tica e Innovaci\u00f3n Tecnol\u00f3gica (CCTI) de la Fundaci\u00f3n para la Defensa de las Democracias (FDD) documenta casos de agentes ya desplegados que han realizado inyecciones de prompt contra otros, llev\u00e1ndolos a eliminar sus propias cuentas, ejecutar esquemas de manipulaci\u00f3n financiera o establecer falsa autoridad. Y el Centro Nacional de Ciberseguridad del Reino Unido (NCSC)<\/a> concluy\u00f3 que, dada la ausencia de delimitaci\u00f3n clara entre instrucciones y datos en un LLM, puede ser imposible eliminar completamente las inyecciones de prompt una vez introducidas en un sistema.<\/p>\n\n\n\n No es un bug. Es una propiedad del paradigma. Los LLMs operan en el espacio sem\u00e1ntico, no sint\u00e1ctico. Esa es su potencia y su vulnerabilidad fundamental, y ambas son inseparables.<\/p>\n\n\n\n La fecha l\u00edmite para responder a la solicitud del NIST era el 9 de marzo de 2026. Las respuestas informar\u00e1n el trabajo del CAISI sobre evaluaci\u00f3n de riesgos, desarrollo de m\u00e9tricas y generaci\u00f3n de directrices t\u00e9cnicas para sistemas ag\u00e9nticos. Esto ocurre en paralelo a marcos como ISO 42001 y el AI Risk Management Framework del propio NIST, que no contemplan bien a los agentes porque su superficie de ataque incluye tanto los sistemas externos como los propios agentes como vectores.<\/p>\n\n\n\n Seg\u00fan el an\u00e1lisis del FDD, los marcos existentes no abordan completamente las vulnerabilidades que los agentes aut\u00f3nomos introducen en contextos de seguridad nacional. Los adversarios pueden reutilizar ataques ya efectivos contra IA convencional, pero con consecuencias que se extienden m\u00e1s all\u00e1 de salidas manipuladas a acciones ejecutadas en nombre de quien deleg\u00f3.<\/p>\n\n\n\n Los agentes <\/a>ya est\u00e1n en producci\u00f3n. Gestionan correo, calendarios, infraestructura cloud, interacciones con clientes. Y nadie tiene todav\u00eda una taxonom\u00eda completa de qu\u00e9 vigilar, qu\u00e9 auditar, qu\u00e9 prohibir. La pregunta del NIST no es acad\u00e9mica: es el reconocimiento de que la velocidad de adopci\u00f3n ha superado la capacidad institucional de especificar qu\u00e9 significa \u00abseguro\u00bb en este contexto.<\/p>\n\n\n\n \u00bfC\u00f3mo aseguras algo que razona?<\/p>\n","protected":false},"excerpt":{"rendered":" El 8 de enero de 2026, el Centro para Est\u00e1ndares e Innovaci\u00f3n en IA (CAISI) del NIST public\u00f3 una solicitud formal de informaci\u00f3n dirigida a desarrolladores, investigadores y operadores de sistemas ag\u00e9nticos. No es una gu\u00eda. No es una normativa. Es una pregunta abierta: \u00bfc\u00f3mo medimos la seguridad de algo que toma decisiones aut\u00f3nomas, usa … Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":1,"featured_media":779,"comment_status":"closed","ping_status":"closed","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,59,66,68],"tags":[227,245,267,270],"class_list":["post-776","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-agentes-autonomia","category-prompt-injection","category-seguridad-de-agentes-ia","category-seguridad-llm","tag-nist","tag-prompt-injection","tag-seguridad-de-agentes-ia","tag-seguridad-llm"],"_links":{"self":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/776","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/comments?post=776"}],"version-history":[{"count":1,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/776\/revisions"}],"predecessor-version":[{"id":1034,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/776\/revisions\/1034"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media\/779"}],"wp:attachment":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media?parent=776"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/categories?post=776"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/tags?post=776"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}El da\u00f1o se propaga m\u00e1s r\u00e1pido de lo que se detecta<\/h2>\n\n\n\n
El problema no es la IA. Es la delegaci\u00f3n sin arquitectura de control<\/h2>\n\n\n\n
Intentar regular lo que a\u00fan no sabemos gobernar<\/h2>\n\n\n\n