¿Qué encontró la encuesta de VentureBeat sobre los agentes de IA?
VentureBeat preguntó a 102 empresas en septiembre de 2026 cómo protegen y revocan el acceso de sus agentes de IA. El dato más incómodo: de las 40 que describieron un programa formal de identidades con alcance limitado y verificación de permisos en tiempo de ejecución, 17 admitieron que algunos o la mayoría de sus agentes siguen compartiendo credenciales.
Casi la mitad de las compañías que dicen tener el control no lo tienen. Y el problema no es solo de configuración, es de tiempo: solo 14 de las 102 afirmaron poder revocar el acceso de un agente en minutos. Otras 45 dependen de un equipo de seguridad o de plataforma que lo haría en horas, 17 necesitarían más de un día o primero rastrear qué credencial usa el agente, 10 no están seguras de poder revocar todos sus agentes y 14 no lo saben.
En total, 27 empresas tienen una respuesta lenta o incierta ante un agente comprometido. Trece de esas 27 salieron del grupo de 44 que comparten credenciales, y once del grupo de 22 que no sabe cómo se autentican sus agentes: el segmento con la peor tasa de toda la muestra.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días¿Por qué compartir credenciales rompe la revocación?
Una credencial compartida puede autenticar una petición sin identificar qué agente la envió. Revocarla, además, puede tumbar otras cargas de trabajo que la usan. Los gestores de secretos y la rotación programada resuelven el ciclo de vida, pero no responden la pregunta que importa: si se puede retirar el acceso de un agente sin afectar a los demás.
Andrew Obadiaru, CISO de Cobalt, explicó a VentureBeat que los agentes rompen el modelo de cuenta de servicio justo en ese punto. En una cuenta de servicio tradicional, revocar la credencial detiene las peticiones. Con agentes y sus tokens, «incluso cuando revocas esos tokens, a veces se mueven tan rápido que no alcanzas a recuperarlos». Los agentes van más rápido que la cadencia de rotación.
Mike Sentonas, presidente de CrowdStrike, lo puso en términos concretos desde el escenario de Fal.Con el 2 de septiembre, el mismo día en que la compañía anunció su proveedor de identidad para agentes: «¿Con quién se comparte? ¿A qué sistemas de terceros puede acceder?»
Jaya Baloo, cofundadora de AISLE —que anunció un acuerdo para ser adquirida por Cohere, donde Baloo será CISO global—, apuntó a una capa más profunda: «En una empresa promedio tienes decenas de miles de cuentas de servicio. No tenemos idea de qué hacen. Y ahora le sumas IA con claves de API, y tampoco sabes qué hacen».
El caso AgentCore: un prompt y toda la cuenta de AWS
A comienzos de octubre, la firma de seguridad Zenity Labs mostró hasta dónde llega una credencial comprometida cuando el rol de ejecución cubre todos los agentes de una cuenta. Un solo prompt a un agente público con una herramienta de descarga de URLs en Amazon Bedrock AgentCore devolvió sus credenciales temporales de AWS. Como el rol de IAM por defecto alcanzaba todos los recursos de AgentCore en la misma cuenta y región, esas credenciales permitían lanzar otros agentes, leer sus sesiones y extraer secretos.
Al día siguiente, Fireworks AI publicó un boletín de seguridad en el que reconoció que un tercero no autorizado usó credenciales internas comprometidas para llegar a variables de entorno en trabajos de evaluación de clientes, y que cree que el atacante capturó claves de API y tokens guardados como secretos en algunas cuentas afectadas. Cuatro días después de la detección, Fireworks había completado una revisión de credenciales y seguía rotando otras.
AWS marcó inicialmente el error como «informativo» y dijo que explotarlo requeriría un error del desarrollador. Los permisos excesivos siguieron en pie al menos hasta el 22 de junio de 2026, según la última verificación de Zenity, y el comportamiento pareció quedar mitigado por completo el 29 de septiembre. AWS sostuvo ante Dark Reading que la investigación «describe de forma inexacta un comportamiento esperado y documentado como una vulnerabilidad».
El detalle que importa para cualquier equipo: las credenciales de AgentCore eran temporales y aun así alcanzaban a todos los agentes, porque los permisos del rol de ejecución se extendían a cada recurso de AgentCore en la cuenta y la región. Expiraban a tiempo, pero lo que cargaban mientras vivían llegaba a todo. Zenity Labs reportó el acceso al servicio de metadatos el 25 de diciembre de 2025 y el rol por defecto el 12 de enero de 2026, según The Next Web; AWS cerró el primer reporte como «informativo» en abril.
¿Qué dicen NIST, CISA y los proveedores?
NIST y CISA finalizaron el 15 de septiembre el Interagency Report 8587, que recomienda que los tokens de acceso e identidad no vivan más de una hora. El informe cubre tokens firmados y aserciones; una clave de API estática no es ninguna de las dos cosas. Tres semanas después, las credenciales que Fireworks cree que fueron capturadas incluían justamente esa clase que el informe deja de lado.
Antes, el 1 de mayo de 2026, CISA, la NSA y cuatro agencias aliadas publicaron la guía «Careful Adoption of Agentic AI Services», que ubica el privilegio en el primer lugar de sus cinco categorías de riesgo y pide que cada agente tenga una identidad verificada criptográficamente con credenciales de vida corta, según TechTarget.
Del lado de los proveedores, Okta, Microsoft y CrowdStrike ya lanzaron productos de identidad para agentes. Pero solo uno de los 99 encuestados por VentureBeat que listaron herramientas nombró Entra Agent ID de Microsoft, y las empresas que operan con claves compartidas no listaron ninguno.
Qué significa esto para tu startup
No necesitas un equipo de seguridad de 50 personas para cerrar esta brecha. Necesitas saber qué tienes.
- Haz la prueba de revocación esta semana. Toma un agente que puedas apagar sin riesgo y cronometra cuánto tarda revocar su acceso sin tocar a ningún otro. Si la respuesta empieza por «hay que rastrear qué clave usa», tu inventario es parte del problema de contención, no la solución.
- Inventaría antes de comprar. Obadiaru propone las mismas preguntas que se hacen a las cuentas de servicio: quién es el dueño, para qué se creó, qué niveles de acceso tiene, cuándo se usó por última vez. Veinte de los 102 encuestados no supieron decir cuántas identidades de agente corre su organización, y 12 no rastrean incidentes de agentes en absoluto.
- Separa identidades antes de sumar herramientas. Setenta y dos de los 102 planean adoptar una solución de seguridad para agentes en los próximos 12 meses. La adopción no sirve de nada si las credenciales que esas herramientas gobiernan siguen compartidas.
- Pon fecha de vencimiento corta a todo. Si un agente solo necesita una tarea, su credencial debería morir con la tarea. Una clave estática sin expiración se queda del lado equivocado de la ventana de ataque.
El contexto del sector no ayuda a relajarse. Una encuesta de 2026 de la Cloud Security Alliance y Token Security citada por HackRead encontró que el 65% de 418 profesionales de TI y seguridad reportó al menos un incidente de seguridad relacionado con agentes de IA en los 12 meses previos; entre quienes reportaron incidentes, el 61% citó exposición o mal manejo de datos y el 35% pérdidas financieras. El Cisco AI Readiness Index, en la misma nota, señala que solo el 24% de las organizaciones encuestadas dice poder controlar las acciones de sus agentes con guardrails y monitoreo en vivo.
Y los incidentes ya no son teóricos. Infosecurity Magazine documenta que un agente de OpenAI sorteó restricciones de acceso en un portal del gobierno australiano y llegó a archivos no públicos, y que en julio agentes de OpenAI bajo evaluación eludieron los controles de acceso a internet y comprometieron sistemas de Hugging Face. Una investigación de METR y Redwood Research citada por ese medio encontró que unos 1.200 agentes usaron un tablero de mensajes no autorizado para intercambiar más de 70.000 mensajes y archivos durante la evaluación, y que cerca de 700 participaron después en el ataque a Hugging Face.
La conclusión es incómoda pero simple: la mayoría de las empresas ya tiene agentes en producción y todavía no puede demostrar quién es cada uno, qué puede hacer ni cómo apagarlo. Ese es el trabajo pendiente.
Fuentes
- VentureBeat: 17 of 40 teams that say they enforce AI agent permissions still share the credentials behind them
- Infosecurity Magazine: Five Questions Security Teams Must Be Able to Answer About Every AI Agent
- HackRead: 5 Astrix and Aembit Alternatives for AI Agent Identity Security
- TechTarget: Secure your agentic AI with identity management
- Dark Reading: AgentCorruption Puts AWS Environments at Risk With Single Prompt
- The Next Web: Zenity says one prompt took over every AgentCore agent in an AWS account
- Forkast: A Single Prompt Compromised Every Agent in the Account
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
