El 61% de las organizaciones que ya tienen agentes de IA en producción reconoce que esos agentes comparten credenciales entre sí. Y de los encuestados que respondieron sobre revocación, solo el 14% asegura que un responsable identificado puede cortar el acceso de un agente en minutos. Son datos del sondeo de agosto y de la investigación de septiembre de VentureBeat Intelligence, y describen con precisión el hueco que hoy separa la ambición de IA de la operación real.
La conversación de VentureBeat con Nir Chervoni, Head of Security Products de Nebius, va directo a ese punto: la seguridad de la IA empresarial no empieza en el modelo, empieza en la infraestructura que lo sostiene. Y esa capa es, casi siempre, la que nadie revisa.
¿Por qué la brecha de seguridad de la IA empresarial empieza debajo del modelo?
Chervoni lo plantea con una lógica simple: cuando los agentes comparten credenciales se pierden dos cosas al mismo tiempo. Primero, dejas de saber qué actor hizo qué. Segundo, no puedes limitar el daño cuando uno de ellos queda comprometido.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasSu respuesta es una lista de fundamentos que deben existir antes de que un modelo o un agente se ejecute:
- Cada agente tiene su propia identidad, igual que un usuario humano.
- Las credenciales son de vida corta y están acotadas a la tarea específica.
- Los secretos viven en un gestor de secretos, nunca en prompts, archivos de configuración o variables de entorno.
- Las claves de cifrado permanecen bajo control del cliente.
- Existe una traza de auditoría completa que alimenta el SIEM.
La idea de fondo es que la infraestructura es el piso: aguanta sin importar cómo se comporte el modelo. Los guardrails reducen riesgo, pero ofrecen protección estadística, no garantías totales. Los controles de aplicación cargan la lógica de negocio. De ahí la regla que Chervoni repite: nunca confíes en un guardrail para hacer cumplir algo que una política de acceso puede imponer de forma determinista.
Confidential computing en GPUs: qué protege y dónde se detiene
El confidential computing dejó de ser un tema exclusivo de CPU. Con la GPU dentro de la frontera de confianza, los datos que viajan entre CPU y GPU van cifrados y la propia GPU puede ser atestiguada. En algunas implementaciones, los datos y los pesos del modelo quedan protegidos mientras se procesan, incluso frente al operador de la nube, el hipervisor y los administradores del proveedor.
La atestación es la pieza clave: permite al cliente verificar el entorno antes de liberar sus claves. La confianza pasa a ser algo que se comprueba, no algo que se asume.
Pero Chervoni marca los límites con claridad. El confidential computing no corrige vulnerabilidades de tu aplicación, no detiene un prompt injection, no gobierna lo que el modelo devuelve y no ayuda si una identidad legítima queda comprometida. Además, solo es tan fuerte como quien verifica la atestación. Es una herramienta para trazar una frontera de confianza, no una manta que cubre todo.
Las preguntas que un CISO debería hacer a su proveedor de infraestructura de IA
Investigaciones independientes sobre proveedores de nube con GPU encontraron riesgos entre inquilinos (cross-tenant) anclados en lo básico: gestión de parches, exposición de red y planos de control compartidos. La recomendación de Chervoni es igual de básica: preguntar por lo básico, con evidencia.
- ¿Qué pasa con un nodo GPU bare metal entre inquilinos? ¿Se reescribe el firmware? ¿Se limpia la memoria de la GPU? ¿Se verifica la integridad?
- ¿La red de gestión (BMC, acceso out-of-band) es inalcanzable física o lógicamente desde las cargas de trabajo del inquilino?
- ¿Qué partes del plano de control se comparten y cómo se aplica la autorización por inquilino?
- ¿Hasta dónde se propagaría el compromiso del plano de control?
- ¿La aislamiento entre inquilinos fue probado por un tercero?
- ¿Cómo se particiona la red de alta velocidad, sea InfiniBand o RoCE, entre inquilinos?
Si el proveedor no puede responder con evidencia, eso ya te dice lo que necesitas saber.
Residencia vs. soberanía: la distinción que más se pasa por alto
La residencia responde una sola pregunta: dónde están los datos. La soberanía responde tres más: quién puede acceder a ellos (personal del proveedor, subencargados, qué jurisdicciones pueden obligar a entregarlos), cómo se procesan (retención cero, no entrenar con datos del cliente) y quién controla las protecciones. Este último punto es el que casi todos olvidan.
El ejemplo que da Chervoni para una organización europea regulada: la carga corre en una región de la UE sobre capacidad dedicada y aislada; las claves viven en un KMS que el cliente controla y solo se liberan tras pasar la atestación; cualquier acceso del personal del proveedor es just-in-time, aprobado y registrado directamente en el SIEM del cliente; la inferencia es de retención cero; y la regla de jurisdicción cubre también backups y accesos de soporte, no solo el almacenamiento primario.
La prueba final es si el cliente puede verificar cada uno de esos puntos por sí mismo, sin tener que creerle al proveedor.
Qué significa esto para tu startup
Si estás llevando IA a producción, el mercado ya está respondiendo a este problema. En septiembre de 2026, TechCrunch reportó que Cymphony, startup de seguridad para agentes de IA, levantó US$30 millones —una Serie A de US$25 millones co-liderada por Sequoia y SMBC Fin Atlas Beyond Fund— con una valoración superior a US$100 millones. En uno de sus casos, la compañía encontró cerca de 85.000 archivos que habían quedado accesibles a herramientas y agentes de IA dentro de una empresa pública estadounidense.
El contexto de mercado es igual de elocuente. Según WSO2, que lanzó su Agent Manager en septiembre de 2026, Gartner proyecta que la empresa promedio del Fortune 500 tendrá más de 150.000 agentes en uso hacia 2028, mientras que solo el 13% de las organizaciones cree tener el gobierno de agentes adecuado. Y un análisis de Cisco sobre shadow AI señala que las organizaciones con altos niveles de IA no autorizada registraron costos de brecha US$670.000 mayores que las que casi no la usan.
Dos acciones concretas que puedes ejecutar esta semana:
- Inventaría tus identidades no humanas. Haz una lista de cada agente, script y servicio que hoy accede a tus sistemas con credenciales compartidas o de larga duración. Si no puedes nombrar al dueño de cada una, ese es tu primer riesgo.
- Mueve los secretos fuera del código. Saca tokens y claves de prompts, archivos de configuración y variables de entorno, y llévalos a un gestor de secretos con rotación y alcance por tarea. Es la medida más barata con mayor retorno inmediato.
Si tu startup vende a empresas reguladas en Europa o LATAM, la conversación de soberanía llegará antes de lo que esperas. Preparar la evidencia —atestación, trazas de auditoría, control de claves— no es solo cumplimiento: es un argumento comercial.
Conclusión
La IA empresarial no falla por modelos débiles, falla por fundamentos ausentes. Identidad por agente, credenciales efímeras, claves bajo control del cliente y auditoría verificable son la capa aburrida que hace confiable todo lo que va encima. El confidential computing en GPUs suma una frontera de confianza real, pero no reemplaza el control de acceso. La pregunta que Chervoni deja abierta para cualquier CISO es la correcta: ¿puedes verificar tus protecciones tú mismo, o solo confiar en la promesa de tu proveedor?
Fuentes
- VentureBeat: Why the enterprise AI security gap starts below the model
- Yahoo Finance: Sovereign AI: Palantir and Nebius Cut the Cloud Cord
- Pulse 2.0: Nebius Raises $5.75 Billion Through Convertible Notes
- TechCrunch: Sequoia doubles down on Cymphony as AI agents create new enterprise security risks
- Yahoo Finance: WSO2 Agent Manager Brings Sovereign AI Governance to Enterprise Agent Sprawl
- Cisco Blogs: The AI Security Paradox – How Shadow AI Became the Enterprise’s Biggest Blind Spot
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
