Los agentes de IA autónomos no solo responden preguntas: planifican, usan herramientas, guardan memoria y coordinan con otros agentes. Esa autonomía es justo lo que los hace útiles, y justo lo que los convierte en una nueva clase de problema de seguridad. En diciembre de 2025, el OWASP GenAI Security Project publicó el Top 10 para Aplicaciones Agénticas 2026 — un marco revisado por pares con los diez riesgos específicos de los sistemas agénticos, etiquetados ASI01–ASI10. Si construyes o despliegas agentes, esta es la lista contra la que diseñar.
Top 10 problemas de seguridad de agentes de IA
ASI01. Secuestro de objetivos (Agent Goal Hijack)
Los atacantes manipulan los objetivos, la selección de tareas o la ruta de decisión del agente — a menudo mediante inyección indirecta de prompts oculta en una web, un documento o un correo — porque los modelos aún no separan de forma fiable instrucciones de contenido. El agente cree que ayuda; en realidad ejecuta la intención de otro.
ASI02. Abuso y explotación de herramientas
Uso indebido de herramientas *legítimas* dentro de privilegios autorizados: encadenar herramientas internas y externas para exfiltrar datos, explotar APIs con exceso de privilegios o actuar sobre descripciones de herramientas envenenadas. El agente nunca «entra por la fuerza»: usa mal lo que se le dio.
ASI03. Abuso de identidad y privilegios
Agentes con demasiada autoridad permanente, credenciales compartidas o escalada de privilegios a lo largo de una cadena de delegación. La solución: autorización de mínimo privilegio, just-in-time y ligada al propósito — y nunca dejar que un subagente actúe con autoridad que su padre no tuvo.
ASI04. Vulnerabilidades de la cadena de suministro agéntica
Riesgo heredado de componentes de terceros: modelos, herramientas, servidores MCP, plugins y frameworks. Una dependencia comprometida o sin verificar se convierte en un agente comprometido.
ASI05. Ejecución de código inesperada (RCE)
Los agentes que generan y ejecutan código — o que controlan sistemas que lo hacen — abren la puerta a la ejecución remota de código si las entradas y los entornos de ejecución no están aislados y acotados.
ASI06. Envenenamiento de memoria y contexto
Los agentes acumulan memoria y contexto; si un atacante logra plantar contenido malicioso en esa memoria o en el contexto recuperado, puede dirigir decisiones futuras mucho después de la inyección inicial.
ASI07. Comunicación insegura entre agentes
En sistemas multiagente, los mensajes entre agentes son una nueva superficie de ataque. El tráfico agente-a-agente sin autenticar ni verificar permite que un agente malicioso o suplantado inyecte instrucciones o robe datos.
ASI08. Fallos en cascada
La salida errónea de un agente se convierte en la entrada de confianza de otro. Errores, alucinaciones o acciones maliciosas se propagan y amplifican por la cadena, convirtiendo un fallo local en un fallo global.
ASI09. Explotación de la confianza humano-agente
Los usuarios confían en exceso en agentes fluidos y seguros de sí mismos. Los atacantes explotan esa confianza — ingeniería social a la persona a través del agente, o usando la autoridad del agente para que un humano apruebe lo que no debería.
ASI10. Agentes rogue
Agentes que operan fuera del gobierno — «shadow AI» no gestionado, agentes comprometidos o agentes que actúan fuera de su ámbito previsto — sin propietario, sin supervisión y sin botón de parada.
Qué te dice de verdad el Top 10
Leídos en conjunto, ASI01–ASI10 apuntan a una conclusión: la seguridad de los agentes es un problema de gobierno, no solo de código. Las defensas a nivel de prompt y el código cuidadoso importan, pero los riesgos que dominan —secuestro de objetivos, abuso de privilegios, memoria envenenada, agentes rogue, fallos en cascada— van de *identidad, autorización, procedencia y supervisión* a lo largo de todo el ciclo de vida del agente. No hay prompt que arregle un agente con exceso de privilegios y sin monitorizar.
Por eso los controles efectivos encajan tan bien con la lista: mínimo privilegio y autorización por llamada en un gateway de IA/MCP (ASI02, ASI03); verificación y firma de tu cadena de suministro de modelos, herramientas y MCP (ASI04); ejecución en sandbox (ASI05); controles de integridad sobre memoria y contexto recuperado (ASI06); comunicación entre agentes autenticada y verificable (ASI07); *circuit-breakers* y validación entre agentes (ASI08); humano en el bucle con límites de autoridad claros (ASI09); y una identidad gestionada, propietario y traza de auditoría para cada agente para que ninguno se vuelva rogue (ASI10).
Cómo ayuda CloudAPPi
En CloudAPPi la seguridad de los agentes no es un añadido de última hora sobre una demo — es la arquitectura. Con nuestras prácticas de Agent Governance, MCP Governance y Arquitectura Agéntica, mapeamos tu parque de agentes contra el OWASP Top 10 para Aplicaciones Agénticas y ponemos los controles adecuados: acceso a herramientas de mínimo privilegio y autorización por llamada en el gateway, revisión de la cadena de suministro de modelos y servidores MCP, guardrails contra inyección de prompts y envenenamiento de memoria, comunicación entre agentes verificable, y trazas de auditoría firmadas y ligadas a un propietario y propósito declarados.
Evalúa el Top 10 en tus propios agentes. ¿Quieres saber cómo están tus agentes frente a ASI01–ASI10? Contacta con CloudAPPi para una evaluación de Seguridad Agéntica Top-10, te mostramos tu exposición y un plan priorizado para cerrarla.
