La empresa ya no la operan solo las personas y el software que manejan. Ha llegado una nueva clase de actor: agentes de IA autónomos. Perciben contexto, toman decisiones, invocan herramientas y actúan entre sistemas con poca intervención humana.
Este no es un cambio incremental, sino arquitectónico. Además, aterriza justo sobre la disciplina que muchas empresas daban por resuelta: la gestión de identidades y accesos (IAM). En el fondo, el reto es el IAM para agentes de IA.
La buena noticia: los cuatro fundamentos del IAM (Administración, Autenticación, Autorización y Auditoría) siguen siendo el marco correcto. Sin embargo, lo que ha cambiado, y mucho, es la superficie que deben cubrir y las asunciones que ya no pueden hacer.
Por qué no puedes tratar a un agente como a cualquier otra identidad
El IAM tradicional asumía que las identidades son estables, discretas y ancladas a una persona. Un humano se autentica, actúa y responde. También actúa una cuenta de servicio, ligada a un proceso; o una API, que expone capacidades. En todos los casos, te autenticas una vez, obtienes un token y operas dentro de un ámbito.
Los agentes rompen casi todo eso a la vez. Por ejemplo, dos agentes sobre el mismo modelo no son identidades equivalentes si llevan distinto system prompt, distintos permisos de herramientas, distinto contexto o distinto fine-tuning. Un agente cuyo system prompt ha sido alterado (por un cambio legítimo o por un ataque) es una entidad distinta. De hecho, un mismo agente puede ser, a la vez:
• Sujeto: decide con autoridad delegada.
• Recurso: debe protegerse y accederse solo por quien está autorizado.
• Cliente: llama a APIs downstream en nombre de las entidades a las que sirve.
Ningún tipo de identidad previo reunía las tres facetas a la vez, y ahí está el núcleo del problema.
Los cuatro pilares, repensados
Cada pilar cambia de forma distinta. Veámoslos uno a uno.
1. Administración: existencia gobernada desde el origen
La era SaaS trajo el shadow IT; la era agéntica trae el shadow AI: agentes desplegados sin identidad gestionada, sin ciclo de vida, sin visibilidad. De hecho, los informes ya sitúan a una gran mayoría de empleados usando herramientas de IA no aprobadas. Por eso, cada agente debe ser una identidad gestionada desde el momento en que se aprovisiona.
Además, debe estar atada a un propietario declarado, con estados de ciclo de vida que cambian el acceso en cada transición.
Así, la propiedad pasa a ser un atributo de primera clase que da sentido a la autorización y la auditoría.
2. Autenticación: demuestra qué eres, no solo quién eres
Para una persona, autenticar responde «¿quién eres?». En cambio, para un agente, la pregunta clave es «¿qué eres?»; qué modelo, qué prompt, qué permisos, qué versión. Por eso, esto exige atestación: prueba verificable criptográficamente de qué es el agente en el momento de actuar.
Cuando el agente es recurso, la autenticación se invierte: quien llama debe probar que puede invocarlo. Y cuando actúa como cliente, debe autenticar al usuario por el que actúa, con el nivel de garantía adecuado.
3. Autorización: un agente, varios modelos de acceso
El mínimo privilegio no desaparece; no puede aplicarse a la vieja usanza. Sin embargo, el mínimo privilegio clásico asume que puedes enumerar el espacio de acciones al escribir la política. Los agentes, en cambio, son dinámicos: un conjunto rígido de permisos o los deja inútiles, o concede de más para cubrir cada caso.
La respuesta es una autorización dinámica: ligada al propósito y acotada en el tiempo.
• Acceso just-in-time, solicitado en el momento en que se necesita una llamada concreta.
• Acceso just-enough, limitado por la tarea declarada.
• Expiración automática al terminar la tarea.
Además, en cadenas multiagente esto se vuelve recursivo. Cada paso de delegación debe ser verificable, la profundidad debe estar acotada, y ningún subagente debe actuar con autoridad que su padre nunca tuvo. En definitiva, es el problema del confused deputy a escala empresarial.
4. Auditoría: rastrea quién hizo qué, con qué autoridad y por qué
Un log tradicional registra identidad, acción y hora, y para software determinista basta. Sin embargo, los agentes lo rompen: el mismo agente, con los mismos permisos, puede actuar distinto según el contexto acumulado.
Por eso, un registro completo debe capturar varios elementos:
• La cadena de delegación completa.
• El propósito declarado en el momento de autorizar.
• Las entradas y el contexto que llevaron a la acción.
• Y la procedencia de cada llamada a sistemas externos.
Aquí, la auditoría no es solo cumplimiento: es cómo se construye la confianza que permite dar más autonomía al agente con el tiempo. De hecho, los reguladores coinciden: el Reglamento de IA de la UE (Artículo 12) exige registro automático y trazable para sistemas de alto riesgo.
Construye cimientos que evolucionen
El panorama agéntico no es estable: frameworks, patrones de orquestación y capacidades de los modelos cambian más rápido que los ciclos de adopción. Por eso, quien construye hacia dentro —registros a medida, lógica de delegación propia, atestación artesanal— acaba con soluciones solo válidas para hoy.
En cambio, lo que perdura se apoya en cuatro elementos:
• Primitivas de identidad basadas en estándares y protocolos abiertos (extensiones de OAuth 2.0 y OIDC, soporte de primera clase para MCP).
• Lógica de política desacoplada.
• Confianza componible.
• Y observabilidad diseñada desde el principio para cadenas multiagente distribuidas.
Además, varios marcos de referencia apuntan en la misma dirección:
• Identity Management for Agentic AI, de la OpenID Foundation.
• El trabajo del NIST sobre identidad y autorización de agentes.
• Y el OWASP Top 10 para Aplicaciones Agénticas (ASI03: Abuso de Identidad y Privilegios).
En definitiva, todos coinciden en lo mismo: sustituir la suplantación por autoridad delegada verificable, y aplicar política en cada acción.
Cómo ayuda CloudAPPi
La identidad no es una función de la empresa agéntica: es el cimiento sobre el que se apoya todo lo demás. En CloudAPPi llevamos años operando API Governance, identidad y arquitectura de integración empresarial. Por eso, trasladamos esa disciplina al IAM para agentes de IA.
Con nuestras prácticas de Agent Governance, MCP Governance y Arquitectura Agéntica, te ayudamos a:
• Registrar cada agente como identidad gestionada, con propietario declarado.
• Aplicar autenticación basada en atestación.
• Imponer autorización just-in-time, ligada al propósito y acotada en el tiempo, en cada llamada.
• Acotar la delegación en cadenas multiagente.
• Y producir trazas de auditoría firmadas y trazables, ligadas al propósito.
Además, todo se apoya en estándares abiertos —OAuth 2.0, OIDC y MCP—. Así, cualquier agente, sobre cualquier modelo, participa en un mismo tejido de identidad.
La empresa agéntica se está ensamblando ahora mismo, agente a agente. Por eso, gobernar esa transición con rigor te gana el derecho a desplegar agentes a escala y confiarles trabajo relevante.
¿Quieres cimientos de identidad que duren más que el framework de moda? Contacta con CloudAPPi — diseñemos tu tejido de identidad agéntica.
