Los empleados crean agentes de IA por su cuenta, y el 93% de las conexiones innecesarias tiene acceso total

Imagine esto: un director financiero se pasa una tarde creando un agente que consulta los informes y responde preguntas. Es cómodo, así que lo comparte con sus colegas. Nadie ha hackeado a nadie, pero ahora cualquiera que escriba a este agente en el chat trabaja de hecho con los permisos del CFO. Es justo el caso que describió Business Insider, y es posiblemente el mayor riesgo de la IA corporativa ahora mismo.

El problema no son los hackers, sino los entusiastas

Asistentes de IA como Copilot, ChatGPT, Claude y Gemini ya están instalados en casi todas las grandes empresas. Pero en paralelo, especialistas de marketing, contables y abogados crean sus propios agentes mediante vibe coding o constructores low-code. Para ellos el resultado es evidente: conectar una hoja de cálculo, enlazar un par de herramientas y compartirlo con el departamento. Los permisos de acceso no preocupan a nadie, y a un empleado sin perfil técnico a menudo simplemente le faltan los medios para entenderlos: no es un ingeniero DevOps.

La magnitud, según la startup Opsin, es impresionante. El 93% de las conexiones que el agente no necesita para su tarea tenía acceso total a todo el sistema. Un ejemplo clásico: un agente ayuda a tramitar vacaciones, pero tiene acceso a la base de datos de nóminas. Y solo una conexión de cada 200 requería confirmación humana antes de actuar. Las cifras las aporta el propio proveedor, así que conviene tomarlas como una referencia y no como una auditoría independiente. Pero la tendencia está clara.

La razón es sencilla: por defecto, el agente hereda los permisos de su creador. Cuanto más alto es el cargo del autor, más peligroso es su invento. Y compartirlo convierte al asistente personal en una puerta trasera colectiva.

Cómo lo combate Opsin

Los fundadores de la empresa vienen de Abnormal Security, donde el antiphishing se basa no en firmas, sino en el comportamiento: un correo es sospechoso si no se parece a la forma habitual de escribir del remitente. Trasladaron el mismo enfoque a los agentes. Opsin se conecta a los Copilot, ChatGPT, Claude y Gemini corporativos, localiza a todos los agentes caseros y abre un expediente de cada uno: quién lo creó, para qué, qué herramientas tiene conectadas, qué datos ve el agente y con quién está compartido.

Después, el sistema vigila el comportamiento. Si el «asistente de vacaciones» de pronto se mete en los informes financieros, se le envía a cuarentena y el propietario recibe una notificación. La lógica del CEO de la empresa es esta: no se puede mirar dentro de la cabeza de un agente, así que hay que juzgarlo por sus actos. La semana pasada Opsin anunció una ronda de $21M.

Qué hacer en la práctica

Para desarrolladores y equipos de seguridad, la conclusión es desagradable pero útil. Primero, haga un inventario: cuántos agentes hay ya en la empresa y quién los creó. Casi seguro que más de los que cree. Segundo, prohíba que los agentes funcionen con los permisos personales de su autor: hacen falta cuentas de servicio independientes con el conjunto mínimo de accesos para la tarea concreta. Tercero, para acciones de escritura, borrado y envío al exterior, exija confirmación humana, aunque ello frene la magia de la automatización.

Los equipos de producto que desarrollan plataformas no-code y constructores corporativos de agentes deberían reflexionar sobre los valores predeterminados. Si por defecto el agente recibe todos los permisos del usuario, ese es su fallo, no la culpa del especialista de marketing. Muestren a qué está conectado el agente y avisen al compartirlo.

El enfoque también tiene limitaciones. La monitorización del comportamiento detecta anomalías a posteriori y requiere un periodo de aprendizaje, y un agente que tiene permisos excesivos desde el principio y hace cosas habituales para él puede pasar inadvertido. Por eso la monitorización complementa el principio de mínimo privilegio, pero no lo sustituye.

En resumen: la principal amenaza de la IA en la oficina por ahora no parece una máquina rebelde, sino un empleado aplicado con un enlace compartido. Los agentes realmente necesitan su propio «departamento de recursos humanos», y el mercado para ello ya se está formando.