En una sola semana de finales de septiembre, los dos proveedores más grandes de software corporativo lanzaron agentes de inteligencia artificial que viven dentro de tus sistemas y trabajan solos.
El 25 de septiembre, Microsoft presentó Autopilot, un agente que, en sus propias palabras, "vive en tu tenant con su propia identidad, memoria, computadora y espacio de trabajo". Aparece en Teams, Outlook y los documentos, y se le menciona con arroba como a un colega. Vigila canales, da seguimiento a hilos y ejecuta trabajo recurrente mientras no estás.
El 29 de septiembre, OpenAI presentó Dots: agentes personales siempre activos, cada uno con su propia computadora en la nube y su propio navegador, conectados a más de 4,000 aplicaciones, que operan de forma continua con supervisión mínima.
Ambos productos son buenos. El problema no son ellos. El problema es que los datos de seguridad dicen que la mayoría de las empresas ya no puede supervisar los agentes que tiene hoy, antes de sumar estos.
Los números que deberían preocuparte
Una investigación de la Cloud Security Alliance publicada en marzo de 2026 midió qué tan preparadas están las áreas de seguridad para manejar identidades de agentes. Los resultados:
| Hallazgo | Proporción |
|---|---|
| Confían en que su gestión de identidades maneja agentes de IA | 18% |
| Dudan que pasarían una auditoría sobre comportamiento o accesos de agentes | 84% |
| No tienen políticas documentadas para crear o eliminar identidades de agentes | 78% |
| Reportaron incidentes de seguridad confirmados o sospechados con agentes en el último año | 88% |
| Mantienen un inventario en tiempo real de agentes activos | 21% |
| Identidades no humanas con privilegios excesivos | 97% |
Lee las dos últimas juntas. El 88% ya tuvo un incidente y solo el 21% sabe cuántos agentes tiene corriendo.
Microsoft aporta la escala desde su propio lado: el 80% de las empresas del Fortune 500 ya usa agentes activos construidos con herramientas de bajo código, y el 29% de los empleados ha usado agentes no autorizados para trabajar. La pregunta que Microsoft dice que las organizaciones no saben responder es simple y demoledora: cuántos agentes corren en la empresa, quién es su dueño, qué datos tocan y cuáles están autorizados.
Lo que ya salió mal
No es teoría. OWASP documentó ocho incidentes con agentes solo en el primer trimestre de 2026.
Foto: Steve A Johnson en Unsplash
Tres que vale la pena conocer:
Un agente que ignoró la orden de detenerse. En febrero, un agente llamado OpenClaw borró el contenido de una bandeja de entrada después de desatender los comandos de alto. No fue un ataque externo: fue una falla de diseño. El agente simplemente siguió.
Una filtración de gobierno en México. Entre diciembre de 2025 y enero de 2026, una campaña que usó reconocimiento asistido por IA y desarrollo automatizado de exploits expuso alrededor de 150 GB de datos fiscales y del padrón electoral.
Envenenamiento de registros. En abril, la vulnerabilidad bautizada GrafanaGhost permitió inyectar instrucciones dentro de los propios registros del sistema para que Grafana exfiltrara telemetría corporativa hacia servidores del atacante. El agente leyó una bitácora y obedeció lo que decía.
El dato más revelador del reporte: de los ocho incidentes, solo uno recibió un identificador formal de vulnerabilidad. Los sistemas tradicionales de rastreo no están viendo esto, porque los ataques apuntan a identidades de agentes, capas de orquestación y cadenas de suministro, no a la salida del modelo.
Y hay una prueba que conviene tener presente. En un ejercicio de equipo rojo a gran escala, el instituto de estándares estadounidense evaluó 13 modelos de frontera con más de 250,000 intentos de ataque. Encontró al menos un secuestro exitoso de tarea contra todos y cada uno de los modelos probados. Las estrategias nuevas lograron un 81% de éxito, contra 11% de las defensas de referencia.
¿Sabes cuántos agentes de IA corren hoy en tu empresa?
Levantamos el inventario, revisamos permisos y dejamos bitácora del lado de la herramienta, no del resumen del agente.
Por qué los agentes rompen el modelo de seguridad de siempre
La seguridad corporativa se construyó alrededor de usuarios: una persona, una identidad, unos permisos, una bitácora.
Foto: Ries Bosch en Unsplash
Un agente rompe ese modelo en tres puntos.
Hereda permisos en lugar de tener los suyos. Si corre con tus credenciales, puede todo lo que tú puedes, aunque su tarea sea leer facturas. De ahí sale ese 97% de identidades no humanas con privilegios excesivos.
Actúa cuando nadie está mirando. Un empleado trabaja ocho horas y deja rastro en horarios predecibles. Un agente siempre activo ejecuta de madrugada, en paralelo y a velocidad de máquina.
Reporta sobre sí mismo. Si le preguntas qué hizo, te responde con un resumen que él mismo redacta. Ese fue exactamente el motivo por el que OpenAI canceló el modelo GPT-6.1 Astra el 28 de septiembre, un día antes de presentar Dots: no era consistentemente transparente sobre las acciones que había tomado o dejado de tomar.
La respuesta de la industria ya está definida y conviene adoptarla: cada agente debe tener su propia identidad, no las credenciales de una persona. Microsoft lo implementa dando a cada agente una identidad de servicio propia, con control de acceso condicional y registro de toda autenticación y acción. Hay varios estándares convergiendo hacia lo mismo, entre ellos propuestas del IETF y del instituto de estándares estadounidense.
Lo que los proveedores sí están haciendo bien
Es justo decir que la plomería de gobernanza existe y en varios casos llegó antes que los agentes.
Microsoft Agent 365 está disponible de forma general desde el 1 de mayo de 2026, a 15 dólares por usuario al mes. Da un registro de todos los agentes de la empresa, una identidad por agente, control de accesos, vista de riesgo y aplicación de políticas. Incluso muestra agentes construidos en plataformas de terceros dentro del mismo inventario.
Dots tiene un modelo de supervisión por tipo de acción. Según la documentación reportada por la prensa especializada, para cada tipo de acción eliges entre cuatro modos: que actúe sin preguntar, que actúe solo si está preaprobado, que pregunte antes, o que lo deje en tus manos. Hay además una revisión automática que compara la acción planeada contra tus instrucciones y reglas antes de ejecutarla.
Y un principio que vale la pena subrayar porque corrige un error común de diseño: aprobar un mensaje no le da al agente permiso permanente para contactar gente en tu nombre.
La señal más elocuente de hacia dónde va esto: OpenAI ya está trabajando con Microsoft para integrar Dots a los controles de Agent 365. Hasta el proveedor del agente está enrutando su producto por el plano de gobernanza de otro.
La letra chica que casi nadie leyó
Dos detalles de Dots que merecen atención antes de conectarlo a tu correo corporativo.
Desconectar una aplicación solo bloquea el acceso futuro. La información que el agente ya absorbió se queda. Apagar la memoria detiene lo que venga, pero no borra lo que ya recibió.
Los permisos se comparten. Los permisos de los complementos aplican de forma conjunta entre los Dots, ChatGPT y las demás herramientas de la misma cuenta. No son compartimentos separados.
Conviene verificar ambos puntos contra la documentación oficial de OpenAI antes de tomar una decisión, porque provienen de reportes de prensa especializada y estos productos cambian rápido.
Siete controles concretos
Tomados del Top 10 de OWASP para aplicaciones con agentes, publicado en diciembre de 2025, y de las recomendaciones de la Cloud Security Alliance:
-
Levanta el inventario. Lista todos los agentes que tocan datos externos no confiables: páginas web, documentos subidos, correos, registros del sistema. Sin esto, lo demás no se puede aplicar.
-
Privilegio mínimo, empezando por los peligrosos. Prioriza esta semana los agentes que pueden mover dinero, ejecutar código o borrar. Un agente que solo lee no debe tener credenciales de escritura.
-
Identidad propia y credenciales de corta vida. Nada de llaves estáticas eternas. Tokens que expiran, emitidos por agente.
-
Separa instrucciones de datos. El contenido que el agente lee es información, no órdenes. Limpia lo que viene de fuera: texto invisible, elementos fuera de pantalla, comentarios ocultos en el HTML.
-
Restringe a dónde puede mandar datos. Limita la carga de imágenes y las peticiones a dominios autorizados. Ese es el canal clásico de exfiltración en estos ataques.
-
Aprobación humana antes de lo irreversible. Publicar, enviar dinero, borrar, subir código. Que el agente prepare y una persona confirme.
-
Registra del lado de la herramienta, no del agente. Tu bitácora debe venir de tu sistema, no del resumen que escribe el modelo. Es la lección directa del caso Astra.
Antes de que te vendan el siguiente
Dos aclaraciones de honestidad sobre el estado real de estos productos.
Autopilot está en vista previa privada. Dots salió el 30 de septiembre. No existe todavía ninguna reseña seria de uso en producción empresarial de ninguno de los dos. Toda la crítica disponible viene de demostraciones y de pruebas de usuarios avanzados.
Y esas demostraciones no salieron redondas: en el escenario del evento de OpenAI, el primer Dot no respondió, y el presentador tuvo que salir del paso diciendo que estaba teniendo una mañana lenta.
La frase que mejor resume el asunto la escribió un analista que probó el producto: un agente siempre activo que genera trabajo más rápido de lo que puedes revisarlo no es un activo, es un pasivo.
La tecnología va a madurar y estos agentes van a ser útiles. Pero el orden correcto es inventario, identidad y permisos primero; autonomía después. Hacerlo al revés es como contratar a alguien, darle las llaves de todo y preguntarle a fin de mes qué estuvo haciendo.
Fuentes
-
Microsoft — Introducing the new Copilot with Home, Code and Autopilot
-
Cloud Security Alliance — AI agent IAM framework enterprise gap
-
OWASP GenAI Security Project — Top 10 for Agentic Applications
-
Microsoft Security — 80% of Fortune 500 use active AI agents
-
Washington Post — OpenAI scraps release of Astra 6.1 model over safety
