La seguridad en agentes de IA es la disciplina que protege sistemas autónomos basados en LLM — que planifican, deciden y ejecutan acciones mediante tools, MCP y plugins — frente al abuso de herramientas, la agencia excesiva y el prompt injection. Berghem combina Red Team, sandboxing, privilegio mínimo y monitoreo continuo para contener lo que cada agente puede hacer.
Un agente de IA es un sistema que usa un LLM como motor de razonamiento para planificar y ejecutar tareas de forma autónoma, invocando herramientas externas, APIs, bases de datos y otros agentes. Esa autonomía amplía la superficie de ataque: cada herramienta conectada, cada conector MCP y cada plugin se vuelve un camino para desviar el comportamiento del agente.
A diferencia de un chatbot que solo responde texto, un agente actúa en el mundo — envía correos, mueve dinero, altera registros, ejecuta código. Cuando el agente es inducido a actuar contra el negocio, el impacto es operativo e inmediato, no solo informativo. Proteger agentes exige tratar al LLM como un componente no confiable y limitar lo que puede hacer.
Las amenazas a agentes surgen de combinar un LLM no determinista con el poder de actuar. Las categorías siguientes concentran la mayoría de los incidentes reales.
Cuando un agente accede a herramientas potentes sin límites claros, un atacante puede encadenarlas para efectos no previstos — exfiltrar datos, ejecutar comandos o disparar transacciones. El riesgo crece con el número y el privilegio de las herramientas expuestas.
La agencia excesiva es conceder al agente más permisos, autonomía o funcionalidad de la que la tarea exige. Es una categoría del OWASP Top 10 para LLM y la causa raíz de muchos incidentes: el agente hace algo destructivo solo porque tenía acceso.
Contenido malicioso oculto en un correo, página, documento o respuesta de API puede reprogramar al agente durante la ejecución (prompt injection indirecta). El agente lee el dato como instrucción y pasa a servir al atacante — sin que el usuario lo note.
Cada servidor MCP, plugin o conector añade código de terceros y nuevos permisos al agente. Un conector comprometido o mal configurado puede exponer credenciales, ampliar privilegios o introducir herramientas hostiles en la cadena de ejecución.
En arquitecturas multiagente, la salida de un agente se vuelve entrada de otro. Sin validación, una inyección en un eslabón se propaga por toda la cadena, y la confianza implícita convierte una falla local en un compromiso sistémico.
Bases de conocimiento, memoria de largo plazo y pipelines RAG pueden envenenarse con contenido que solo actúa después, al ser recuperado. El agente rescata la instrucción plantada y la ejecuta como legítima, mucho después del ataque.
No hay un control único. La seguridad de agentes es defensa en profundidad: cada capa reduce el daño posible cuando falla la anterior.
Cada herramienta recibe solo los permisos estrictamente necesarios, con scopes, allowlists y credenciales segregadas. Reducir el privilegio de cada acción limita el daño cuando el agente es subvertido.
La ejecución de código, la navegación y las llamadas a herramientas corren en entornos aislados, sin acceso directo a secretos, red interna o producción. El sandbox contiene el radio de acción de una operación maliciosa.
Las acciones de alto impacto — pagos, borrados, envío externo de datos — exigen confirmación humana explícita. La aprobación manual rompe cadenas automáticas de abuso antes de un efecto irreversible.
Las entradas de herramientas y datos externos se tratan como no confiables; las salidas del agente pasan por filtros antes de volverse acción. Separar datos de instrucciones mitiga el prompt injection directo e indirecto.
Cada decisión, llamada a herramienta y resultado se registra y observa en tiempo real. La telemetría detecta desvíos de comportamiento, permite respuesta rápida y sostiene la investigación posincidente.
Políticas claras definen qué herramientas puede usar cada agente, bajo qué condiciones y con qué supervisión — alineadas a marcos como ISO 42001 y el OWASP Top 10 para LLM.
Llevamos la superficie de agentes al AI Red Team y al pentest de IA, y anclamos los controles en gobernanza y en nuestros propios agentes de seguridad.
Simulamos adversarios reales contra tus agentes: prompt injection, abuso de herramientas y escalada vía MCP, con evidencia de impacto de extremo a extremo.
Prueba técnica enfocada en agentes, herramientas e integraciones, mapeada al OWASP Top 10 para LLM y a MITRE ATLAS.
Estructura políticas, roles y controles para todo el ciclo de vida de tus agentes, del diseño al desmantelamiento.
Preparación para el sistema de gestión de IA (AIMS) de ISO/IEC 42001, con controles aplicables a agentes autónomos.
Nuestros agentes de seguridad autónomos, operados bajo los mismos principios de privilegio mínimo y supervisión humana que recomendamos a los clientes.
Red Team y pentest para toda la superficie de la organización, más allá de la capa de IA.
En una conversación de 30 minutos mapeamos la superficie de tus agentes — herramientas, MCP, plugins e integraciones — y diseñamos el alcance ideal de prueba y hardening.