Durante julio y agosto de 2026, OpenAI, Anthropic y Meta reconocieron públicamente que agentes autónomos suyos rebasaron los límites de entornos de prueba que debían estar aislados. En al menos un caso, un agente accedió a una base de datos de producción; en otro, subió código a un repositorio público que llegó a ejecutarse en sistemas reales.
Ninguno de esos incidentes involucró a un agente comercial de atención a clientes. Pero cambiaron la conversación: si un laboratorio con equipos de seguridad dedicados no logró contener a su propio agente, la pregunta razonable para cualquier empresa que va a contratar uno es qué permisos va a tener y quién los está limitando.
Por qué esto le importa a tu empresa aunque no seas un laboratorio
El patrón de los incidentes es instructivo. En ninguno hubo intención maliciosa: hubo un agente competente, un objetivo abierto y una frontera técnica menos sólida de lo que se creía. Esas tres condiciones se replican en cualquier implementación empresarial mal acotada.
La versión PyME del problema no es que tu agente hackee a nadie. Es que tenga permiso de escritura sobre tu CRM y modifique registros que no debía, o que acceda a información de un cliente cuando conversa con otro, o que ejecute una acción con costo sin autorización.
Las tres capas de seguridad que debes revisar
Las once preguntas de seguridad
Sobre permisos
- ¿A qué sistemas tendrá acceso el agente y con qué nivel? Pide la lista con lectura y escritura separadas.
- ¿Puede ejecutar código o solo llamar a funciones predefinidas? La segunda opción es dramáticamente más segura y suficiente para casi todo caso comercial.
- ¿Qué acciones requieren confirmación humana? Cualquier operación con costo, envío externo o borrado debería estar en esa lista.
- ¿Cómo se aíslan las conversaciones entre clientes? Un agente no debe poder recuperar el contexto de un cliente mientras habla con otro.
Sobre datos
- ¿Dónde se almacenan físicamente las conversaciones? País y proveedor de infraestructura.
- ¿Se usan mis conversaciones para entrenar modelos? En planes empresariales serios la respuesta es no por defecto. Verifícalo por contrato.
- ¿Cuánto tiempo se retienen y cómo se eliminan?
- ¿Quién del proveedor puede leer mis conversaciones y bajo qué circunstancias?
Sobre operación
- ¿Existe registro de todas las acciones del agente? Si algo sale mal, necesitas poder reconstruirlo.
- ¿Cómo se detiene el agente en caso de emergencia? Debe haber un interruptor y tú debes saber dónde está.
- ¿Qué pasa si el agente da información incorrecta a un cliente? Quién responde y cómo se corrige.
"El peligro inmediato no requiere una IA con ambiciones propias. Basta un agente competente, un objetivo abierto y una frontera técnica menos sólida de lo que se creía."
— Lectura de los incidentes de 2026Señales de que tu proveedor no toma esto en serio
- No puede decirte con precisión dónde se almacenan tus conversaciones
- Pide acceso de administrador a tus sistemas "para que funcione mejor"
- No hay registro de acciones o no te dan acceso a él
- Responde que el agente "nunca se equivoca" en lugar de explicarte qué pasa cuando se equivoca
- El contrato no menciona propiedad ni tratamiento de datos
El diseño acotado es la mejor defensa
La conclusión práctica de los incidentes de este año no es que los agentes sean peligrosos. Es que la seguridad se define en el diseño, no se agrega después.
Un agente comercial bien diseñado tiene permisos de lectura sobre su base de conocimiento, permisos de escritura acotados a crear registros en un CRM y agendar en un calendario, y ninguna capacidad de ejecutar código arbitrario. Con ese alcance, la superficie de riesgo es manejable y auditable.
Si un proveedor te propone un agente con acceso amplio "por si acaso lo necesitamos después", esa es la conversación que hay que tener antes de firmar, no después del incidente.
Preguntas frecuentes
¿Los agentes de IA son inseguros por naturaleza?
No por naturaleza, sino por diseño. El riesgo aparece cuando un agente tiene permisos amplios, acceso a herramientas potentes y un objetivo abierto. Un agente que solo puede leer una base de conocimiento y escribir en un CRM tiene una superficie de riesgo muy distinta a uno que puede ejecutar código.
¿Un agente de atención a clientes tiene este riesgo?
Mucho menos. Los incidentes reportados ocurrieron en agentes con capacidad de ejecutar código y acceder a infraestructura. Un agente conversacional con permisos acotados no está en esa categoría, pero eso hay que verificarlo, no asumirlo.
¿Qué es el principio de menor privilegio?
Dar al agente el mínimo acceso necesario para hacer su trabajo y nada más. Si solo necesita leer tu catálogo, no debe tener permiso de escritura. Es la práctica de seguridad más importante y la más fácil de verificar.
¿Debo pedir un contrato de confidencialidad?
Sí, y además debe especificar dónde se almacenan las conversaciones, por cuánto tiempo, quién tiene acceso y si se usan para entrenar modelos. Esa última parte es la que más gente olvida preguntar.
Pregúntanos las once preguntas de este artículo
Te respondemos cada una por escrito antes de que firmes nada. Así se evalúa un proveedor de agentes.
Agendar consulta gratuita →