Los agentes de IA están escapando. ¿Qué ocurre después?
Durante el último mes, tres de los principales desarrolladores de IA pioneros del mundo confirmaron que sus propios agentes de IA llegaron a sistemas a los que nunca debían acceder. Lo que al principio parecía una fuga aislada de IA ahora parece un patrón:
- La prueba de OpenAI se escapó al mundo real. Un agente de IA se escapó de una prueba de ciberseguridad, llegó a Internet y comprometió a Hugging Face y a un cliente de Modal Labs. El agente vulneró la infraestructura durante días antes de que OpenAI entendiera lo que pasó.
- Tras revisar sus pruebas, Anthropic encontró sus propios incidentes. Una revisión de más de 141.000 pruebas reveló tres casos en los que los modelos Claude vulneraron otras organizaciones. A diferencia del agente de OpenAI, estos modelos no tenían por qué romper. La configuración les dio acceso a Internet por error desde el principio.
- Meta se convirtió en el tercer desarrollador de IA vinculado a un ataque de agentes de IA. Durante una prueba de seguridad, una mala configuración dio acceso a Internet a uno de sus modelos. El modelo empleaba ese acceso para encontrar y explotar una vulnerabilidad en un servicio de terceros.
- Las pruebas del AI Security Institute (AISI) encontraron agentes que iban más allá de los exploits mediante engaño y manipulación humana. Pruebas de AISI de Mythos 5 de Anthropic y GPT-5.6-Sol de OpenAI descubrió que creaba identidades falsas en línea, empleaba ingeniería social e intentaba persuadir a la gente para que aprobara código malicioso. Las pruebas demostraron que los agentes autónomos podían combinar ataques técnicos con engaño mientras perseguían su objetivo.
No todos los incidentes ocurrieron en las mismas condiciones. Algunos agentes escaparon de sus entornos de prueba, mientras que otros obtuvieron acceso a Internet por errores o pruebas deliberadamente permisivas. Pero señalan el mismo riesgo: una vez que un agente puede acceder a sistemas externos, puede explotar software, engañar a la gente y seguir caminos que nadie pretendía. Los equipos de seguridad necesitan ver hacia dónde pueden ir las cargas de trabajo de IA y limitarlas solo a las conexiones que necesitan.
¿Qué ataques de agentes de IA aún no se detectaron?
Laprofesora Dawn Song, de UC Berkeley, que ayudó a crear el benchmark ExploitGym empleado en algunas pruebas, advirtió que "probablemente hubo más". Pero el problema no tiene tanto que ver con evasivas que acaparan titulares y más sobre si los equipos pueden ver y controlar dónde van los agentes de IA autónoma y qué pueden hacer.
La IA se está convirtiendo en una poderosa amenaza interna
La ingeniera de seguridad de IBM, Kimmie Farrington, plantea el riesgo de esta manera: la IA puede ser "la persona más útil que tenemos" — y también "la más peligrosa".
La comparación se cumple por el acceso, no por la intención. Un agente no tiene que volver malicioso para causar daños. Solo necesita las licencias que alguien le concedió, deliberada o por error, y su propia interpretación del objetivo que le asignaron. Esa combinación es lo que hace que la siguiente pregunta sea urgente: una vez que un agente tiene acceso, ¿hasta dónde puede avanzar?
Cuando los agentes de IA salen, el movimiento lateral es el riesgo
Los titulares se centraron en el momento en que un agente de IA cruzó un límite. Para los defensores, ese momento importa mucho menos que lo que vino después: cuánto del entorno podría tocar el agente una vez que lo pasó.
En los casos reportados, la respuesta fue una conexión a Internet abierta, un servicio de terceros y una aplicación explotable. En un entorno de producción, esos mismos caminos innecesarios podrían conducir a sistemas de identidad, bases de datos y datos de clientes.
"El acceso inicial por sí solo no crea un desastre", dijo Rajoo Nagar, director senior de marketing de producto en Illumio. "En realidad es el movimiento lateral lo que provoca eso."
El movimiento lateral sin restricciones se ajusta estrechamente a los recientes incidentes de IA: un entorno de pruebas se convirtió en una vía hacia Internet. Un servicio externo se convirtió en otro paso en la ruta del ataque. Las credenciales y los servicios expuestos abrieron más puertas.
"Cada conexión innecesaria en la compañía crea otro camino que pueden explotar", dijo Nagar.
Un atacante humano tiene que buscar esas vías. Un agente autónomo puede enumerarlos en minutos, lo que deja a los defensores mucho menos tiempo para dar de que algo se mueve donde no debería.
La visibilidad es la primera línea de defensa
Empieza con una imagen clara de cómo tus cargas de trabajo de IA se comunican a través de entornos de desarrollo, pruebas, nube, terceros y producción. Dos cosas importan más: conexiones que nadie recuerda crear y tráfico que no coincide con la arquitectura que diseñaste. Ambos son comunes en entornos de prueba y ambos son fáciles de pasar por alto sin un mapa.
El objetivo es comparar el tráfico previsto con el tráfico real:
- ¿Qué aplicaciones dependen de qué servicios?
- ¿Qué sistemas hablan cuando no deberían?
- ¿A dónde podría mover un agente si falla un control?
Nagar enfatizó que comprender esos patrones reales de comunicación ayuda a los equipos a encontrar brechas de seguridad antes de que se conviertan en rutas de ataque.
Fíjate también en las rutas de movimiento lateral familiares. Los protocolos de acceso remoto y compartición de archivos — Protocolo de Escritorio Remoto (RDP), Bloque de Mensajes de Servidor (SMB), Secure Shell (SSH), Protocolo de Transferencia de Archivos (FTP) y Telnet — junto con herramientas como TeamViewer, son la forma en que los atacantes llevan mucho tiempo pasando de un sistema a otro. Un agente con acceso a la red puede usar exactamente las mismas rutas.
La segmentación detiene el movimiento lateral no intencionado
La visibilidad te muestra los caminos. La segmentación decide cuáles permanecen abiertas. La regla es sencilla: dar a una carga de trabajo de IA solo las conexiones que necesita para hacer su trabajo, y cerrar el resto por defecto. En la práctica, la mayoría de los entornos de prueba y los pipelines de construcción tienen caminos mucho más abiertos de los que el trabajo realmente requiere.
Los incidentes recientes hacen que la separación entre desarrollo, pruebas y producción sea especialmente importante. Nagar advirtió que incluso las conexiones legítimas entre entornos de prueba de baja confianza y la producción pueden convertir en vías de ataque cuando no están restringidas o mal monitorizadas. Restringir esas rutas ayuda a evitar que una carga de trabajo escapada se convierta en un camino hacia datos sensibles o sistemas críticos.
El mismo principio se aplica a aplicaciones críticas. En lugar de intentar aislar todo a la vez, los equipos pueden proteger sistemas de identidad, bases de datos, aplicaciones de producción y otros activos críticos. Permite que las conexiones que necesiten funcionen y restringe el resto.
Decide de antemano cómo responderás cuando un agente se mude a un lugar donde no debería. Si tu equipo puede poner la carga de trabajo en cuarentena en minutos en lugar de horas, estás investigando un incidente contenido en lugar de perseguir uno por el entorno.
Prepárate para el comportamiento de la IA que no puedes predecir
No puedes predecir cada decisión que tomará un sistema autónomo. Pero puedes decidir hasta dónde llega. Mapea cómo se comunican tus cargas de trabajo de IA hoy, cierra las conexiones que no necesitan y mantén los entornos de prueba separados de la producción. Si haces eso, una acción inesperada permanece como un evento contenido en lugar de un camino abierto a través de tu entorno.
Mira el seminario sitio web bajo demanda "Post Mythos: Plan for the Inevitable Breach" para una discusión más profunda sobre cómo las organizaciones pueden preparar para ataques más rápidos y menos previsibles, limitando la exposición y restringiendo los caminos que pueden usar los atacantes.
