Un chatbot que contesta preguntas y un agente que ejecuta acciones parecen la misma cosa del lado del usuario. Del lado de la seguridad no se parecen en nada. Uno puede equivocarse en una respuesta. El otro puede emitir una nota de crédito, escribirle a tu base de clientes o abrir la ficha de alguien que no correspondía.
La diferencia no es de tamaño, es de naturaleza: el agente actúa sobre tus sistemas. Y casi siempre llegó ahí sin que nadie tomara la decisión de golpe.
El día que dejó de ser un chatbot
Nadie se sienta a decidir "voy a poner un agente con permisos de escritura". Pasa así: primero el bot contesta horarios. Después se lo conecta al catálogo, porque quedaba mal que no supiera precios. Después al sistema de gestión, para que cargue el pedido en vez de pasarle la consulta a alguien. Después se le da la agenda, para que confirme turnos solo.
Cada paso, mirado solo, es razonable. El conjunto es otra cosa: un sistema que decide y ejecuta sobre la operación. Y en general nadie volvió a revisar qué puede hacer exactamente, porque cada permiso se dio en un momento distinto y por un motivo distinto.
Cinco cosas que cambian cuando el agente ejecuta
1. Los permisos de las herramientas
El agente usa herramientas —una consulta al CRM, un envío de mail, una carga en el sistema— y cada una corre con una credencial. En la práctica esa credencial casi siempre puede mucho más de lo que la tarea necesita, porque es la que ya existía. El agente hereda todo lo que esa llave abre, no solamente lo que le pediste.
2. Lo que el agente lee también es entrada
Este es el punto que más cuesta ver. Un agente no recibe instrucciones solo del que le escribe: también procesa lo que le das para trabajar. Un mail, un PDF, un ticket, el campo de observaciones de un registro. Cualquiera que pueda escribir en una de esas fuentes le está pasando texto al agente, y el agente no distingue por sí solo entre un dato y una orden. Es la diferencia de fondo con un formulario, que solo guarda lo que le tipean.
3. Qué sale hacia el modelo
Para responder, el agente manda contexto al proveedor del modelo de IA. Vale la pena tener escrito qué parte de la conversación, del documento o de la base viaja, y qué dice el contrato del proveedor sobre el uso de eso. No es una pregunta técnica, es una pregunta de contrato.
4. Los servidores de terceros que le conectaste
Los agentes se conectan a servicios externos por protocolos pensados para eso. Cuando se suma uno, el agente hereda lo que ese servicio puede hacer. Conviene saber quién lo mantiene, qué permisos pide y qué pasa el día que cambie de manos.
5. El registro de lo que hizo
Si dentro de tres meses un cliente reclama por algo que hizo el agente, la pregunta va a ser qué hizo, cuándo y con qué información. Sin registro no hay investigación posible y tampoco hay con qué defenderse. Es lo primero que se pide en un reclamo y lo último que se suele configurar.
Esto no es una opinión, está escrito en un estándar
OWASP —la organización que publica la lista de riesgos de seguridad que usa media industria— mantiene un Top 10 específico de riesgos de aplicaciones con modelos de lenguaje y, además, una guía dedicada a agentes: diecisiete amenazas identificadas y un árbol de decisión para determinar cuáles aplican según cómo esté armado el agente. Una de esas amenazas trata puntualmente los protocolos de comunicación entre agentes y servidores, nombrándolos por su nombre.
Que exista el estándar cambia la conversación. No hace falta convencer a nadie de que el riesgo existe: está publicado y cualquiera puede leerlo. Lo que hace falta es saber cuáles de esas amenazas aplican a tu caso, porque buena parte corresponde a sistemas con varios agentes coordinándose y no le tocan a una empresa con un agente atendiendo WhatsApp.
Por qué el pentest que te hicieron no cubrió esto
Si ya te hicieron una auditoría de seguridad, probablemente revisaron la aplicación, la infraestructura y los accesos. Está bien que así sea. Pero una revisión de agentes no reemplaza al pentest de infraestructura, a la seguridad perimetral ni al respaldo de datos: es la capa que esas revisiones no miran.
Un pentest clásico evalúa un sistema que responde de manera previsible a lo que se le pide. Un agente decide. Son dos objetos distintos y se revisan distinto.
Seis preguntas para quien te armó el agente
No hace falta ser técnico para hacerlas. Son las que cualquier proveedor serio puede contestar sin preparación:
- ¿Qué herramientas tiene habilitadas y qué puede hacer cada una? Pedila por escrito. Si la lista no existe, ese es el primer hallazgo.
- ¿Con qué credenciales corre y qué más abren esas credenciales? La pregunta real es qué pasaría si esa llave se filtrara.
- ¿Qué pasa si alguien deja una instrucción escondida en un documento o un mail que el agente va a leer?
- ¿Qué información sale hacia el proveedor del modelo y qué dice el contrato sobre su uso?
- ¿Qué acciones ejecuta sin que una persona confirme, y cuál es el tope? Un límite de monto o de cantidad convierte un incidente grave en uno molesto.
- ¿Qué queda registrado de cada acción y por cuánto tiempo?
Si las respuestas son vagas, en general no es mala fe. Es que el agente se fue armando por partes y nadie se detuvo a mirar el conjunto.
Qué entrega una auditoría de agentes
Concretamente, lo que recibís:
- El inventario real de herramientas, permisos y conexiones a terceros que el agente tiene hoy. Casi siempre difiere de lo que la empresa cree tener.
- Los hallazgos clasificados por riesgo, con el impacto explicado en términos de negocio y no de jerga.
- Un orden de corrección: qué se arregla esta semana, qué puede esperar y qué directamente no vale la pena tocar.
- Re-test opcional después de las correcciones, para confirmar que lo que se arregló quedó arreglado.
Todo empieza con alcance definido y autorización firmada. Sin ese papel no se toca nada, y un proveedor que ofrezca saltearlo está ofreciendo un problema legal además de un servicio.
Un caso, sin nombre
Un SaaS de bienestar corporativo que maneja datos de salud de empleados. La revisión encontró tres fallas críticas; una de ellas permitía acceder a información de salud de un usuario desde una cuenta que no tenía por qué verla.
No era un sistema abandonado ni hecho a las apuradas: era un producto en producción, con clientes, construido por gente que sabe. Eso es lo habitual. Las fallas de este tipo no aparecen por descuido, aparecen porque el sistema creció por capas y nadie tenía el trabajo de mirarlo entero.
Cuánto cuesta
Los precios están publicados, que en este rubro no es lo común: la auditoría express arranca en USD 1.200, la completa —que suma lógica de negocio y pruebas de concepto— en USD 2.500, y si además hay que corregir lo encontrado y volver a testear, desde USD 4.500. El detalle está en la página de precios y el alcance en ciberseguridad.
Cuándo conviene mirarlo
Antes de que haga falta. Hay tres momentos en los que se vuelve urgente y suele ser tarde: cuando un cliente grande manda su cuestionario de proveedores, cuando aparece un inversor haciendo due diligence, y cuando algo ya pasó.
En los tres casos la pregunta es la misma —qué puede hacer ese agente y quién responde por lo que hizo— y llega de alguien que no está esperando una respuesta improvisada.