Las empresas ya no pueden distinguir sus AI agents de sus empleados

La mayoría de los equipos de seguridad empresarial construyeron sus defensas bajo un supuesto simple: que un login representa a una persona. Ese supuesto se rompió en algún momento de los últimos dos años, y la mayoría de las organizaciones no se han puesto al día. Hoy, los AI agents se autentican en servicios internos, llaman APIs, extraen registros sensibles y encadenan workflows de varios pasos sin que un humano tenga que hacer clic en "aprobar" en cada etapa. La capa de identidad que la arquitectura zero trust fue diseñada para proteger ya no se mapea limpiamente con quién — o qué — está actuando realmente.

Las cifras muestran concreta la magnitud del cambio. En entornos empresariales tradicionales, las identidades de máquina ya superan a los usuarios humanos en una proporción de aproximadamente 50 a 1. En arquitecturas con muchos microservicios — la norma para cualquier empresa que opere infraestructura cloud moderna — esa proporción escala hasta cerca de 500 a 1, según investigaciones recopiladas por Cloud Security Alliance. Cada una de esas identidades de máquina es una credencial, una cuenta de servicio o una API key que puede ser comprometida, mal utilizada o simplemente olvidada.

La epidemia de sobre permisos

El problema de fondo no es la cantidad de identidades de máquina — es lo que se les permite hacer. Aproximadamente el 99% de las identidades no humanas tienen permisos muy por encima de lo que realmente necesitan sus cargas de trabajo, según hallazgos de Cloud Security Alliance. La mayor parte de ese sobre aprovisionamiento ocurre por razones mundanas: un desarrollador otorga acceso amplio para desbloquear un deploy, nadie revisa esa concesión, y la credencial queda ahí indefinidamente con privilegios permanentes que nunca necesitó en primer lugar.

Los AI agents heredan este mismo patrón, solo que lo que está en juego es mayor porque los agentes actúan con autoridad delegada dentro de workflows diseñados para parecer rutinarios. DTEX Systems realizó simulaciones controladas que muestran qué tan rápido puede moverse un agente con permisos excesivos: en una prueba, un agente pasó de tener acceso de confianza a Salesforce a redactar un email en Outlook en 24 minutos. En otra, el acceso a archivos locales se convirtió en una transferencia de datos archivados a través de un coding assistant en 10 minutos. Ninguna acción generó una alerta, porque ninguna violaba una regla de acceso explícita — el agente estaba haciendo exactamente lo que sus credenciales le permitían.

El 68% no puede decir quién hizo qué

Aquí es donde la crisis de identidad se convierte en una crisis de auditoría. Cuando los equipos de seguridad investigan un incidente, la primera pregunta siempre es "¿quién hizo esto?". Con los AI agents integrados en las operaciones diarias, una parte creciente de las organizaciones ya no puede responder esa pregunta limpiamente desde sus logs. Distinguir una acción humana legítima de un agente autónomo que actúa bajo las mismas credenciales delegadas de ese humano requiere telemetría de comportamiento que la mayoría de las empresas nunca construyó: patrones de tecleo, movimiento del mouse, secuencias de navegación y tiempos de llamadas a APIs, en lugar de un nombre de usuario estático en un log de acceso.

El propio marco zero trust de Anthropic para AI agents empresariales — publicado como guía interna y replicado en la industria este año — reformula la pregunta de seguridad central. Ya no es "¿esta herramienta puede ejecutarse?". Esa pregunta siempre se podía responder con una política estática. La pregunta más difícil es si una organización puede reconstruir la cadena completa desde la intención humana, a la acción del agente, al movimiento de datos, hasta el resultado. La mayoría de las empresas actualmente no puede.

Lo que realmente soluciona esto

La solución no es más listas de control de acceso. Es un cambio hacia cuatro prácticas específicas que tratan cada identidad de agente como efímera en lugar de permanente:

• Credenciales efímeras y con alcance de tarea. Frameworks como SPIFFE (Secure Production Identity Framework for Everyone) emiten identidades que expiran después de una sola transacción en lugar de persistir indefinidamente. Esto reduce el radio de explosión de "todo lo que este agente podría hacer teóricamente" a "esta acción específica, para esta tarea específica".
• Inventario automatizado de identidades no humanas. La mayoría de las empresas no tiene una lista completa de cada API key, cuenta de servicio e identidad de agente que corre en sus sistemas cloud y on-premises. El descubrimiento tiene que ser continuo, no una auditoría trimestral.
• Verificación continua del comportamiento. Las plataformas ITDR (Identity Threat Detection and Response) que monitorean patrones anómalos durante la sesión — no solo al login — detectan al agente que empieza a hacer algo que su tarea nunca requirió.
• Provisionamiento de acceso just-in-time. Los permisos permanentes son la causa raíz del problema del 99% de sobre aprovisionamiento. La autorización sensible al contexto y con límite de tiempo, que expira cuando la tarea termina, cierra esa brecha por diseño en lugar de por aplicación de políticas después del hecho.

Nada de esto es exótico. La arquitectura zero trust ya asumía que no hay confianza implícita para ningún actor — el problema del AI agent es realmente una prueba de si las organizaciones realmente implementaron ese principio o solo adoptaron el vocabulario. Los equipos de seguridad que tratan cada credencial de agente como una identidad permanente y de confianza están ejecutando la misma arquitectura que provocó brechas en las empresas antes de que existiera zero trust. Los agentes solo se mueven más rápido que los humanos que solían cometer ese error.

Qué hacer este trimestre

Si su organización está desplegando AI agents en workflows de producción — y la mayoría lo está, tenga o no visibilidad el equipo de seguridad — empiece por el problema del inventario. No se puede asegurar lo que no se ve. Realice un descubrimiento de identidades no humanas en todo cloud IAM, cuentas de servicio y cada coding assistant o herramienta de automatización con acceso a APIs. Luego mueva las credenciales de agente con mayores privilegios a tokens efímeros y con alcance de tarea primero. Ese solo cambio cierra el radio de explosión más amplio con la menor disrupción arquitectónica, y da tiempo para construir monitoreo de comportamiento antes de que el próximo incidente fuerce la pregunta.