OWASP y OpenClaw: por qué los agentes de AI se están convirtiendo en un nuevo problema de seguridad

Los agentes de IA están transitando rápidamente del modo "chat inteligente" al modo de acción autónoma, y esto es exactamente lo que los transforma en una nueva clase de riesgos para las empresas. Esta revisión examina por qué el problema principal ya no está en las respuestas del modelo, sino en a qué sistemas tiene acceso el agente y qué puede hacer sin un humano.

Por qué los riesgos están creciendo

Hasta hace poco, la mayoría de las herramientas LLM estaban limitadas a intercambios de texto con el usuario. Ahora los sistemas agentivos pueden planificar pasos, invocar herramientas externas, trabajar con APIs corporativas, enviar correos electrónicos, modificar registros en bases de datos e interactuar con plataformas internas. Una vez que un modelo obtiene el derecho no solo de aconsejar sino también de actuar, el circuito estándar de ciberseguridad comienza a fallar: un error, sustitución de instrucciones o permiso excesivo ya no produce una respuesta extraña, sino una acción real en producción.

Un problema separado es el despliegue en la sombra de tales herramientas dentro de las empresas. El autor cita OpenClaw como ejemplo—un agente de código abierto auto-hospedado para gestionar cuentas personales y de trabajo. Según informes de principios de 2026, miles de sus instancias resultaron ser accesibles desde Internet sin autenticación adecuada.

Este es un escenario ilustrativo: un empleado instala una herramienta agentiva conveniente "para acelerar el trabajo", y el departamento de TI se entera solo después de un incidente. La amenaza no surge del hecho de usar IA en sí, sino de la falta de control sobre dónde se despliega el agente y qué permisos obtuvo.

Cuatro puntos débiles

El problema con los sistemas agentivos rara vez se reduce a una única vulnerabilidad o un único prompt fallido. El riesgo consiste en varios niveles al mismo tiempo: despliegue no autorizado en la empresa, dependencia de módulos externos, nuevas técnicas de ataque contra el agente y débil monitoreo de qué hace entre pasos. En el artículo, estas vulnerabilidades se agrupan en cuatro grupos básicos que ya comienzan a definir la agenda práctica de seguridad para software agentivo.

Shadow AI y libertad excesiva. Un agente operando fuera de la política de la empresa obtiene rápidamente acceso más amplio del que realmente necesita. **Riesgos de la cadena de suministro.

Los complementos, habilidades y extensiones pueden disfrazarse de integraciones útiles y luego ejecutar código remoto, robar datos o instalar malware. Nuevos vectores de ataque.* OWASP ya considera agent goal hijack como una amenaza notable—una situación en la que un atacante sustituye el objetivo del agente con instrucciones ocultas a través de contenido web o datos externos.

* Memoria y acumulación de errores. Si un agente almacena memoria a corto y largo plazo entre sesiones, datos maliciosos o falsos pueden introducirse en ella, lo que luego distorsionará las decisiones. Los problemas no terminan ahí.

Cuando múltiples agentes y servicios están conectados entre sí, un ataque se desarrolla a velocidad de máquina, no a ritmo humano. El autor enfatiza particularmente la falta de circuit breakers—mecanismos que pueden detectar comportamiento sospechoso en tiempo de ejecución y detener automáticamente el proceso. La defensa de perímetro ya no es suficiente: si un agente comienza a ejecutar una cadena maliciosa de acciones dentro de una red confiable, los firewalls ordinarios son casi inútiles.

Cómo debe cambiar la protección

La conclusión principal del artículo suena dura: un agente no puede ser protegido de la misma manera que un chatbot o una integración SaaS ordinaria. Las empresas necesitan observabilidad en tiempo de ejecución—entender qué herramientas invoca el agente, qué datos lee, qué acciones intenta realizar y qué ruta siguió para llegar a una decisión. Esto ya no se trata de teoría, sino de disciplina operacional práctica. Sin esto, investigar incidentes es casi imposible y, por lo tanto, es imposible limitar adecuadamente los riesgos.

"No puedes proteger lo que no puedes ver."

El mínimo práctico se ve así: dar a los agentes solo los privilegios necesarios, tratarlos como identidades digitales separadas, etiquetar niveles de confianza, registrar todas las llamadas a API y tener un botón de parada de emergencia. Esto no hace que los sistemas agentivos sean seguros por defecto, pero los traslada de la categoría de "experimento inmanejable" a la categoría de una herramienta controlada. De lo contrario, las empresas obtendrán no un asistente para automatización, sino un proceso opaco con acceso a sistemas críticos.

Lo que esto significa

Los agentes de IA no tienen que convertirse en una "pesadilla de seguridad", pero el mercado ya ha salido de la etapa en la que se puede prescindir de filtrado de prompts y políticas de acceso básicas. Para los negocios, la pregunta ya no es si usar agentes o no, sino qué tan rápido integrar reglas separadas de identificación, monitoreo y desactivación de emergencia para ellos.