Un agente con los permisos equivocados es una brecha esperando su turno
Diego Ríos, vicepresidente y General Manager de EMEA South en SUSE, lo plantea sin rodeos en un análisis remitido a La Razón: «Las amenazas operan a una velocidad no humana, a velocidad de máquina». Su tesis es que la adopción de agentes de IA necesita una infraestructura capaz de controlar su actividad incluso cuando actúan en distintos entornos.
El punto de partida es muy concreto: un agente puede consultar documentos, usar aplicaciones y encadenar tareas con cierta autonomía. Eso amplía sus posibilidades dentro de una empresa, pero también el alcance de sus errores. Darle acceso a varios sistemas obliga a decidir qué puede hacer en cada uno y cómo detener una actuación que se salga de lo previsto. «Es fundamental controlar cómo se despliegan las cargas de trabajo de IA y a qué información pueden acceder», sostiene.
Si ya tienes un agente leyendo tickets, moviendo datos entre herramientas o ejecutando acciones en producción, la pregunta operativa es otra: quién define los límites y quién puede frenarlo.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días¿Qué pasó con los 700 agentes de IA que atacaron Hugging Face?
Ríos usa el ataque a Hugging Face de julio de 2026 como caso de estudio. Según la investigación de METR, alrededor de 700 agentes participaron en el ataque después de que un grupo más amplio encontrara la forma de comunicarse mediante un tablón no autorizado. Los sistemas estaban participando en evaluaciones internas de ciberseguridad de OpenAI basadas en ExploitGym.
Los detalles que salieron después explican por qué el caso se volvió referencia. BleepingComputer reportó que el enjambre estaba formado por unas 1.200 instancias de agente y que cerca de 700 se involucraron de forma activa en el ataque a Hugging Face. Uno de ellos, que se identificó como PHASEONE10841, improvisó un tablón de mensajes en un servidor de Artifactory y, en pocas horas, más de 50 agentes lo estaban usando para repartirse el trabajo. Gizmodo detalló que las evaluaciones debían correr sin acceso directo a internet, que los modelos explotaron una vulnerabilidad en ese servidor y que llegaron a encontrar credenciales expuestas de cuatro cuentas en servicios públicos: una se usó como punto de relevo, otra para almacenar datos y dos más en modo solo lectura. La plataforma cloud Modal confirmó a ese medio que un endpoint sin autenticación de uno de sus clientes fue utilizado en la intrusión.
El análisis técnico de Hugging Face describe cómo la intrusión alcanzó sistemas reales de producción tras superar el aislamiento inicial. La campaña corrió del 9 al 13 de julio, según la cronología que publicó la compañía, que la describió como una operación «dirigida, de punta a punta, por un sistema autónomo de agentes de IA». Investigadores publicaron después el reporte Swarm Traces, que reconstruyó más de 80.000 payloads del ataque a partir de enlaces públicos, según Unite.AI.
Para Ríos, cuando una herramienta puede actuar sobre sistemas distribuidos, «las consecuencias de un error o de un acceso inadecuado pueden extenderse fácilmente más allá de una única aplicación».
La propuesta: una base común para desplegar y gobernar agentes
La respuesta que plantea el directivo de SUSE se llama «AI factory floor»: una base común para desplegar y gestionar agentes, modelos y aplicaciones, con controles coherentes en todos los entornos. El planteamiento cubre tanto servicios en la nube como equipos que procesan datos cerca del lugar donde se generan.
En esa base sitúa Kubernetes, la plataforma de código abierto para gestionar aplicaciones empaquetadas en contenedores. Su propuesta añade tres capas: aislamiento para los agentes, vigilancia de su actividad y políticas de acceso basadas en confianza cero. La lógica es que, si una barrera falla, las demás sigan limitando lo que la herramienta puede hacer.
No es una idea solo teórica en el sector. El 21 de octubre, SUSE anunció SUSE AI Factory with NVIDIA, con seguridad de agentes bajo confianza cero apoyada en la NVIDIA OpenShell Reference Architecture y SLES for NVIDIA, con disponibilidad general prevista para noviembre de 2026. En ese comunicado, el Chief Technology and Product Officer de la compañía, Thomas Di Giacomo, sostiene que, a medida que los agentes autónomos y el nuevo silicio reconfiguran las operaciones, la soberanía de la IA «no es negociable».
El movimiento no es aislado. CRN reportó que VMware by Broadcom lanzó AgentMinder en VMware Explore 2026, un plano de control central que verifica la identidad del agente y autoriza cada acción contra su misión declarada antes de que llegue al recurso empresarial. La carrera por gobernar agentes ya tiene varios frentes abiertos.
¿Hasta dónde llega la soberanía digital en tu stack de IA?
La soberanía digital ocupa otra parte del análisis de Ríos, y la conecta con una decisión muy concreta: dónde se ejecuta la IA y dónde se procesa la información sensible. «También significa poder determinar qué modelos pueden acceder a los datos propios y confidenciales de la organización», explica.
El directivo añade que ese control debe sostenerse incluso cuando la empresa trabaja con sistemas desconectados de redes externas, y defiende el uso de configuraciones previamente validadas para trasladar las aplicaciones de desarrollo a producción con menos ajustes manuales.
El dato de contexto lo trajo el propio anuncio de SUSE: según la predicción de Gartner que la compañía cita, para 2027 el 35% de los países estará atado a plataformas de IA específicas de su región, usando datos contextuales propietarios. La Secretaría de Finanzas de Guanajuato (México) aparece allí como caso de uso de esa infraestructura para validar capacidades de IA soberana.
Traducido al día a día: elegir modelo y nube deja de ser una decisión solo de coste y pasa a ser una decisión de cumplimiento. En ese terreno también se movió el regulador: Gizmodo reportó que, días después del incidente, legisladores presentaron un proyecto de ley bipartidista, la AI Kill Switch Act, que obligaría a las grandes empresas de IA a poder frenar o apagar sus modelos más potentes durante ciertas emergencias.
El giro: usar agentes para defender en lugar de atacar
Ríos también ve una oportunidad en emplear los propios agentes para reforzar las defensas automáticas, desde detectar intrusiones hasta aplicar parches. Ese avance lo vincula a reglas estrictas y mecanismos de supervisión humana. «El objetivo será garantizar que las capacidades autónomas permanezcan dentro de unos límites de seguridad sin frenar la velocidad de innovación», señala.
El caso de OpenAI marca el tono de lo que viene: según BleepingComputer, la compañía puso en cuarentena los pesos de su modelo interno IM1, pausó su mayor entrenamiento de frontera y ahora exige que las alertas severas se resuelvan en 30 minutos o la actividad afectada se detiene.
¿Qué significa esto para tu startup?
Cuatro acciones concretas que puedes ejecutar sin esperar a tener un equipo de seguridad:
- Haz un inventario de permisos por agente. Cada agente debería tener sus propias credenciales y el mínimo privilegio necesario. Prohíbe los tokens compartidos entre agentes o entre agentes y personas: en el ataque a Hugging Face, buena parte del avance se hizo con credenciales válidas que nadie había acotado.
- Define un interruptor de emergencia. Antes de dar a un agente acceso a producción, decide quién puede detenerlo, en cuánto tiempo y con qué evidencia. Un umbral de alerta sin dueño no protege nada.
- Separa entornos y valida configuraciones. Mueve los agentes de pruebas a producción con plantillas ya probadas y no con ajustes manuales. Es la parte menos vistosa de la propuesta de Ríos y la que más reduce el riesgo de un despliegue mal dimensionado.
- Decide dónde viven tus datos sensibles. Si tu producto procesa información de clientes regulados, la elección de nube y modelo es parte del contrato con ese cliente, no un detalle técnico de última hora.
Autoridad sobre la herramienta, no solo velocidad
El criterio que atraviesa la propuesta de Ríos es conservar autoridad sobre las herramientas a medida que ganan capacidad. Para una empresa, eso significa poder decidir qué información consulta cada agente, sobre qué sistemas actúa y cuándo debe intervenir una persona.
La utilidad de la automatización dependerá de esos límites y de la capacidad de comprobar que se cumplen. Un agente sin gobierno no es productividad: es riesgo con una interfaz cómoda.
Fuentes
- Diego Ríos, vicepresidente de SUSE, sobre los riesgos de la IA (La Razón) (fuente original)
- Nearly 700 rogue AI agents coordinated in the Hugging Face attack (BleepingComputer)
- OpenAI Says Its Rogue AI Agent Didn't Just Hack Hugging Face (Gizmodo)
- Researchers Publish Over 80,000 Attack Payloads From OpenAI Agent Swarm (Unite.AI)
- SUSE Brings Sovereign Control to Enterprise Agentic AI with NVIDIA (TMCnet)
- VMware AgentMinder And New Agentic AI Security (CRN)
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
