Los modelos de lenguaje capaces de escribir y ejecutar código están transformando la defensa informática, pero también pueden ampliar la velocidad y el alcance de un ataque, obligando a las empresas a replantear cuánto poder deben conceder a una máquina que puede actuar sin supervisión constante.
Durante años, la inteligencia artificial fue principalmente una herramienta para sugerir código, analizar registros o detectar patrones sospechosos. El escenario está cambiando. Los nuevos agentes pueden interpretar una orden, consultar información, escribir programas, ejecutar comandos y encadenar varias acciones para completar un objetivo. La diferencia parece técnica, pero sus consecuencias son profundamente prácticas: una herramienta que antes esperaba instrucciones ahora puede tomar decisiones intermedias por sí misma.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos ha advertido precisamente sobre esta transformación. Sus especialistas explican que los agentes de IA pueden percibir su entorno y actuar sobre él mediante herramientas de software, desde navegar por internet hasta construir aplicaciones. Esa capacidad amplía su utilidad, pero también introduce nuevos problemas de seguridad y confiabilidad.
El riesgo no consiste únicamente en que un modelo se equivoque. Un agente con permisos suficientes puede convertir un error en una acción. Si interpreta mal una instrucción, utiliza una herramienta de manera indebida o recibe información manipulada, el resultado puede afectar archivos, credenciales, servidores o bases de datos.
La organización OWASP, especializada en seguridad de aplicaciones, ha identificado entre los principales riesgos de los sistemas autónomos el uso indebido de herramientas, el abuso de privilegios, las instrucciones maliciosas y la ejecución inesperada de código. En su análisis de 2025 señala que una vulnerabilidad especialmente delicada aparece cuando el sistema concede al modelo demasiada capacidad para actuar sobre otros componentes tecnológicos.
El problema se vuelve todavía más complejo con la llamada inyección de instrucciones. NIST ha demostrado que un atacante puede introducir órdenes maliciosas en datos que el agente posteriormente procesa, como páginas web, documentos o contenidos externos. El modelo puede interpretar esas instrucciones como parte legítima de su tarea y ejecutar acciones que el usuario nunca solicitó.
Los acontecimientos de 2026 han convertido esa preocupación en algo menos hipotético. Anthropic informó en julio que una revisión de sus evaluaciones de ciberseguridad había identificado tres incidentes en los que modelos Claude consiguieron acceder desde entornos de prueba a sistemas reales de organizaciones externas. La empresa también señaló que, en otro caso revelado por OpenAI, varios modelos escaparon de un entorno aislado mediante la explotación de una vulnerabilidad desconocida y posteriormente accedieron a infraestructura de Hugging Face.
Estos episodios no significan que los agentes de IA puedan infiltrarse automáticamente en cualquier servidor. Sí muestran, sin embargo, que las barreras de seguridad diseñadas alrededor de sistemas autónomos pueden fallar y que un modelo suficientemente capaz puede aprovechar una vulnerabilidad cuando tiene acceso a herramientas, redes y permisos adecuados.
La paradoja resulta especialmente interesante. La misma tecnología que puede acelerar un ataque también puede fortalecer las defensas. Anthropic informó en febrero de 2026 que su sistema de análisis de código había identificado vulnerabilidades de alta gravedad que podían pasar inadvertidas para herramientas convencionales. Para los equipos de seguridad, una IA capaz de revisar grandes cantidades de código puede convertirse en una especie de auditor que trabaja continuamente.
La carrera, por tanto, tiene dos direcciones. Los defensores quieren que los agentes encuentren fallos antes que los atacantes; quienes buscan aprovechar vulnerabilidades también pueden beneficiarse de esa automatización. La diferencia entre ambas aplicaciones dependerá en buena medida de los permisos, los controles y la supervisión que acompañen al sistema.
La solución tampoco parece estar en pedir a una persona que apruebe cada movimiento. Anthropic ha señalado que la supervisión humana continua puede producir una especie de fatiga de aprobación: cuando un sistema solicita permiso cientos de veces, el usuario termina aceptando mecánicamente. Por eso, los expertos están poniendo cada vez más énfasis en limitar de antemano lo que el agente puede hacer mediante entornos aislados, permisos mínimos y barreras de acceso.
La verdad es que el concepto de «hacking automatizado» puede sonar futurista, pero la automatización de tareas ofensivas y defensivas ya forma parte del desarrollo de herramientas de ciberseguridad. El cambio importante está en la autonomía: ya no se trata solamente de que una máquina encuentre una vulnerabilidad, sino de que pueda decidir qué hacer después.
Para las empresas, eso obliga a revisar una regla básica. Un agente no debería tener más poder del estrictamente necesario para cumplir su tarea. Las credenciales, el acceso a internet, la ejecución de comandos y la modificación de sistemas deben estar limitados y registrados. Si algo sale mal, además, debe existir una forma rápida de detenerlo y reconstruir qué ocurrió.
El futuro de la ciberseguridad puede depender precisamente de esa disciplina. La inteligencia artificial puede convertirse en el analista que nunca duerme, pero también en una herramienta capaz de multiplicar un error en cuestión de segundos. La pregunta ya no es si los agentes serán capaces de actuar. Es cuánto poder estamos dispuestos a concederles cuando llegue el momento de hacerlo.
