Los gestores de contraseñas empresariales se están convirtiendo en intermediarios de identidad para agentes de IA

1Password lanzó Agentic AI Security dentro de su plataforma Extended Access Management el 22 de abril de 2025, pensada específicamente para gestionar identidades, credenciales y accesos de agentes de IA autónomos, no de empleados humanos. Tres semanas después, Microsoft incorporó a los agentes de IA en su propia pila de identidad con una vista previa pública de Entra Agent ID para agentes creados en Azure AI Foundry y Copilot Studio, asignando a cada uno un identificador único dentro del tenant. Ninguna de las dos empresas reaccionaba a una hipótesis. El informe Identity Security Landscape 2025 de CyberArk, publicado ese mismo mes de abril, contabilizó 82 identidades de máquina por cada identidad humana en la empresa promedio, y una parte importante de las más recientes son agentes de IA con acceso permanente a herramientas internas.

El cambio importa porque las herramientas de identidad y gestión de credenciales nunca se diseñaron con los supuestos que realmente requieren los agentes de IA. Un gestor de contraseñas asume una persona, una sesión de inicio de sesión, reautenticación manual ocasional y un número previsible de cuentas por persona. Un agente de IA puede abrir una nueva sesión cada pocos segundos, llamar a una docena de API en una sola tarea y multiplicarse en instancias paralelas que todas necesitan credenciales a la vez. Adaptar la infraestructura de identidad humana a ese patrón es ya una categoría de producto real, no un problema de investigación.

Lo que realmente se está lanzando

El enfoque de 1Password se centra en dar a los agentes identidades propias para que dejen de compartir o imitar cuentas humanas, un problema más común de lo que parece: en muchos despliegues iniciales de agentes, simplemente se les entregaba una copia del inicio de sesión de un empleado. En su lugar, 1Password ofrece un kit de desarrollo de software (SDK) que permite a los equipos de ingeniería emitir programáticamente claves de API con alcance limitado para un agente, de modo que el agente obtiene solo el secreto específico que necesita para una tarea concreta, no toda la bóveda de una persona. Una función aparte, Secure Agentic Autofill, en acceso anticipado desde el 8 de octubre de 2025 a través de una integración con Browserbase, permite que un agente inicie sesión en un servicio web sin que la credencial quede nunca expuesta al propio contexto del agente: el autocompletado ocurre en la capa del navegador, invisible para el modelo.

Microsoft adoptó un punto de partida distinto con Entra Agent ID: unificar la identidad de agentes y humanos bajo una sola consola de administración en lugar de construir un sistema paralelo. Desde su vista previa de mayo de 2025, Microsoft ha añadido capas de protección específicas para agentes que no tienen equivalente en la identidad humana: defensa contra inyección de instrucciones (prompt injection), bloqueo de acceso no autorizado a conexiones de Model Context Protocol (MCP) y detección de IA en la sombra (shadow AI) para localizar agentes que operan fuera de la visibilidad de TI. Esa vista previa ahora también se conecta con Agent 365, el panel de gestión de agentes más amplio de Microsoft, tratando la identidad del agente como una entrada más de un plano de control operativo mayor, no como una función de bóveda aislada.

Por qué esto difiere de proteger el inicio de sesión humano

La seguridad de identidad humana funciona con ciclos de retroalimentación relativamente lentos: incorporación, revisiones periódicas de acceso, baja al salir de la empresa. La identidad de un agente, en cambio, tiene que funcionar en ciclos medidos en segundos. Un agente que necesita leer un registro de CRM, escribir en un sistema de tickets y llamar a una API de facturación en una sola tarea necesita las tres credenciales con alcance limitado emitidas, usadas y, idealmente, caducadas antes de que empiece la siguiente tarea, no guardadas indefinidamente en la bóveda como los inicios de sesión de una persona. Es un ciclo de vida fundamentalmente distinto, y por eso los proveedores están construyendo rutas separadas de emisión y revocación para agentes en lugar de simplemente añadir una casilla de “agente” a un tipo de cuenta humana existente.

El requisito de auditoría también difiere en tipo, no solo en volumen. Cuando un empleado humano hace algo inusual con una credencial, hay una persona a quien preguntar. Cuando lo hace un agente, la pregunta pasa a ser si la definición de la tarea del agente, el alcance de su credencial o una instrucción inyectada causó ese comportamiento, y por eso Microsoft construyó la defensa contra inyección de instrucciones directamente en su producto de identidad en lugar de dejarla a una capa de seguridad aparte.

Qué significa esto ahora para los equipos de seguridad y TI

• Auditen qué está realmente codificado de forma fija. Antes de evaluar la propuesta de cualquier proveedor de identidad para agentes, averigüen cuántos de sus despliegues actuales de agentes usan secretos fijos o credenciales humanas prestadas; el propio marketing de 1Password apunta a esta práctica porque sigue siendo muy común, y es lo más sencillo de corregir sin importar qué proveedor elijan.
• Exijan emisión con alcance limitado, no solo un panel. Una vista unificada de las identidades de los agentes (lo que encabezan Entra Agent ID y herramientas similares) es útil para la visibilidad, pero la capacidad más difícil de lograr es si la plataforma puede emitir una credencial limitada a una tarea y hacerla caducar automáticamente. Pidan a los proveedores que hagan una demostración de ese flujo concreto, no solo de la consola de administración.
• Traten la proporción 82 a 1 como un suelo, no un techo. La cifra de CyberArk se midió sobre identidades de máquina en general, incluyendo cuentas de servicio y claves de API anteriores a la ola actual de agentes. A medida que los despliegues de agentes crezcan dentro de su organización, esperen que la proporción de identidades no humanas frente a humanas crezca más rápido de lo que su proceso actual de revisión de accesos fue diseñado para manejar.
• Separen “el agente puede iniciar sesión” de “el agente debería iniciar sesión sin supervisión”. Funciones como Secure Agentic Autofill resuelven el problema de exposición de credenciales, pero no responden la pregunta de gobernanza sobre qué tareas debería poder ejecutar un agente sin una persona en el circuito. Esa decisión de política corresponde a su equipo, no a su proveedor de identidad.

La conclusión práctica es que el propio modelo de bóveda se está reconstruyendo debajo de ustedes, hayan adoptado conscientemente o no un producto de “identidad de agente de IA”. Si su organización ejecuta agentes contra sistemas de producción hoy, asuman que cualquier ruta de credenciales que usan se diseñó para una persona, y empiecen a migrarla hacia accesos con alcance limitado, auditables y de corta duración antes de que su equipo de auditoría, o un atacante, encuentre esa brecha primero.