Novacomp: agentes de IA en México sin seguridad a la par

Las empresas mexicanas incorporaron agentes de IA capaces de escribir código, ejecutar pruebas y desplegar cambios antes de diseñar los controles de seguridad para gobernarlos. Esa es la advertencia que Novacomp, firma especializada en transformación digital e inteligencia artificial, publicó el 28 de octubre de 2026: los mecanismos de seguridad, acceso e identidad para esos agentes no evolucionan al mismo ritmo que su adopción.

El dato que lo dimensiona viene de otro mercado, pero aplica igual: el 100% de los CIOs encuestados por Red Hat en España afirma tener agentes de IA en producción, pero solo el 30% conoce con precisión dónde se almacenan y procesan los datos asociados, según reportó Computerworld España. Para un founder, la lectura es incómoda: si tu agente toca el repositorio, la infraestructura y los datos de producción, un error deja de ser un bug y pasa a ser un incidente con alcance de sistema crítico.

¿Qué está pasando con los agentes de IA en el desarrollo de software en México?

Cada vez más organizaciones mexicanas incorporan agentes que escriben código, ejecutan pruebas, despliegan cambios y conectan sistemas dentro del ciclo de desarrollo. Esa capacidad libera tiempo de los equipos de ingeniería y acelera proyectos que antes tomaban semanas.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El problema aparece después: los mismos agentes obtienen acceso a repositorios, infraestructura o datos sensibles sin que exista una arquitectura de seguridad pensada específicamente para su forma de operar. Novacomp atiende proyectos de bancos, aseguradoras, empresas de telecomunicaciones y organizaciones de manufactura que ya integran agentes inteligentes en sus procesos de ingeniería, según la compañía.

"Los agentes de inteligencia artificial ya demostraron el valor que aportan al desarrollo de software. El paso que un número creciente de organizaciones todavía no da es diseñar la seguridad alrededor de ellos, con la misma prioridad con la que adoptaron la tecnología", afirmó Peter Kroll, Country Manager de Novacomp en México.

¿Por qué la seguridad de los agentes de IA no avanza al mismo ritmo?

La brecha tiene un origen concreto: la seguridad de los agentes se trata como una extensión de las políticas que ya existían para desarrolladores humanos. El problema es que un agente no se comporta como una persona: opera de forma continua, ejecuta acciones por sí mismo y puede tocar múltiples sistemas en cuestión de segundos.

Un agente con permisos amplios y sin supervisión activa se convierte en una puerta de entrada que un atacante puede aprovechar antes de que el equipo de seguridad note algo distinto.

"Un agente que puede modificar código o desplegar cambios necesita las mismas capas de identidad, autenticación y monitoreo que cualquier usuario con privilegios elevados. Tratarlo con menos rigor solo porque es una herramienta de productividad es donde empieza el riesgo", explicó Kroll.

¿Qué dicen los estudios sobre el riesgo real de los agentes autónomos?

Un relevamiento de Censuswide para IRONSCALES citado por Unite.AI encontró que el 77% de los profesionales de TI y ciberseguridad encuestados dijo que un agente o herramienta de IA de su organización actuó sobre contenido malicioso, engañoso o no autorizado durante el año anterior. El mismo informe señala que en el 78% de las organizaciones el área de TI es el aprobador principal de agentes, asistentes, plugins y conectores, mientras que solo el 6% nombra a seguridad como responsable de esa aprobación.

Ese dato explica la brecha mejor que cualquier marco teórico: los conectores que dan acceso a sistemas críticos se aprueban fuera del área que mide el riesgo. Y la gobernanza formal llega tarde: apenas el 52% de las organizaciones dijo tener políticas, controles y procesos de respuesta a incidentes funcionando de forma conjunta.

El estudio de Red Hat que reportó Computerworld España apunta en la misma dirección desde otro ángulo. Aunque el 85% de los CIOs españoles confía en que sus agentes operan de forma segura y dentro de los límites normativos, solo el 28% cuenta con criterios cuantificables y monitoreados de manera continua para evaluar los riesgos de sus proveedores de IA durante la operación diaria.

¿Cuánto está creciendo la IA agéntica en las empresas?

Las cifras de adopción aclaran por qué el problema es urgente y no teórico. Una encuesta de Gartner a 750 ejecutivos C-level recogida por Analytics Insight muestra que el 44% de las organizaciones está explorando casos de uso de IA agéntica, el 30% pilotea agentes en áreas específicas y solo el 9% los tiene plenamente operando. En paralelo, la gobernanza aparece como la principal barrera para escalar IA, señalada por el 17% de los CIOs consultados.

En el sector financiero el movimiento ya tiene presupuesto: según indicadores de Deloitte que recoge InfoChannel, el 33% de las instituciones financieras ya asigna presupuesto a la IA agéntica, pero solo el 21% de las organizaciones considera tener un modelo maduro de gobernanza para esos agentes. Destinar dinero no es lo mismo que tener controles.

El valor del otro lado de la balanza también está documentado. InfoChannel reportó que las herramientas de IA que usan los más de 20.000 ingenieros de Mercado Libre para diagnosticar incidentes y revisar código redujeron los tiempos de trabajo casi 30%, mientras que los despliegues a producción aumentaron 60%. Analytics Insight citó además el caso de una gran empresa que desplegó herramientas de IA para programación en todo su equipo de ingeniería y redujo el esfuerzo de desarrollo cerca del 34%.

El capital sigue ese movimiento. TechCrunch reportó que Comp AI, startup de ciberseguridad y compliance, levantó una Serie A de US$34 millones liderada por Roo Capital y Grand Ventures para automatizar trabajo de seguridad y auditoría con agentes, en una ola donde también aparecen nombres como Vanta y Drata.

¿Qué significa esto para tu startup?

Si tu equipo ya usa agentes para programar o desplegar, hay tres decisiones que no puedes postergar hasta después del primer incidente.

Haz el inventario de permisos antes de ampliar el uso. Define qué sistemas y datos puede tocar cada agente y aplica el principio de mínimo privilegio. Un agente que solo consulta el estado de un despliegue no necesita los mismos permisos que otro que escribe en el repositorio principal o modifica configuración de producción.
Que seguridad apruebe los conectores, no solo TI. El dato de IRONSCALES es implacable: cuando TI aprueba en solitario y seguridad queda fuera del circuito, nadie evalúa el alcance real del permiso. Con un equipo chico alcanza con incorporar la revisión de seguridad en el mismo paso donde se habilita el acceso.
Instrumenta la trazabilidad desde el día uno. Mantén un registro de qué agente actuó, qué información consultó, qué autorización recibió y cuál fue el resultado. Sin ese registro no puedes investigar un incidente ni demostrar a un cliente empresarial que tu operación está bajo control.

A esto se suma una práctica que conviene volver hábito: probar de forma constante qué tan expuesto queda un agente frente a un intento de manipulación externa, por ejemplo un mensaje o un archivo que intenta darle instrucciones no autorizadas.

Las cuatro prácticas que Novacomp recomienda antes de escalar

La firma identifica cuatro prácticas concretas que las organizaciones deberían establecer antes de ampliar el uso de agentes en sus equipos de desarrollo:

Definir qué sistemas y datos puede tocar cada agente.
Mantener un registro completo de sus acciones.
Asignar una persona encargada de auditar su comportamiento.
Probar de forma constante qué tan expuesto queda un agente frente a un intento de manipulación externa.

Todas apuntan al mismo principio: seguridad desde el diseño, dentro de un enfoque AI-First, en lugar de sumarla una vez que la solución ya está en producción. Ese es el criterio que, según Novacomp, separa a las organizaciones que escalan esta tecnología de forma sostenible de las que convierten su ganancia de productividad en superficie de ataque.

Conclusión

La velocidad que ganan los equipos de desarrollo con agentes de IA es real y está medida: menos tiempo en tareas repetitivas, más despliegues a producción. El problema es asimétrico, porque el beneficio se cobra en semanas y el costo de un agente mal gobernado se cobra de una sola vez.

Para un founder, la decisión práctica no es frenar la adopción, sino gobernarla: saber qué agentes existen en su organización, qué pueden tocar, quién audita lo que hacen y cómo se revoca un permiso cuando algo sale mal. Ese control es también un argumento comercial frente a clientes empresariales que, tarde o temprano, van a preguntar por él.