The Third-Party Agent Problem: Why Security Built for AI You Chose Misses the Agents You Didn't
The Hacker News · 10 oct, 13:00
El informe State of Agent Security Report 2026 identifica una brecha de seguridad crítica: aproximadamente 1.280 productos de terceros integran agentes de IA, pero la mayoría opera sin decisión formal de adopción ni visibilidad en las infraestructuras de identidad. Mientras que la seguridad tradicional de IA se enfocaba en sistemas elegidos por la empresa, los agentes llegan insertados en software ya desplegado (heredados, configurados o construidos), creando un problema de gobernanza donde las herramientas de control existentes resultan ineficaces.
La seguridad basada en controles de primer nivel (escaneo de modelos, inspección de prompts, políticas de uso) asume un momento de adopción que nunca ocurre con los agentes. El ejemplo de Slack Code ilustra el riesgo: un agente puede acceder a repositorios y orquestación de producción, pero su gobernanza depende únicamente de permisos de un chat, sin revisión previa ni asignación de propietario.
Los agentes se originan en tres vectores: heredados (dentro de actualizaciones de plataformas), configurados (prompts y lógica en runtime de terceros) y construidos (frameworks propios). Los dos primeros representan la mayoría de adopción y ninguno tiene punto de revisión tradicional. El riesgo real reside en el scaffolding (permisos, conectividad, integraciones) no en el modelo. La conectividad transitiva —lo que cada agente puede alcanzar a través de cadenas de sistemas— es el factor crítico y rara vez evaluable desde la pantalla de configuración del agente.
Puntos clave
- Aproximadamente 1.280 productos de terceros con agentes de IA; solo 282 autentican por SSO
- Agentes heredados carecen de decisión de adopción formal ni punto de revisión de seguridad
- Cuatro áreas clave: identidad del agente, permisos asignados, alcance transitivo (blast radius) y actividad real
- La conectividad es la unidad de análisis, no la configuración del modelo individual
- Reguladores (EU AI Act) requieren inventario y propiedad de sistemas de IA para cumplimiento
Figuras de la fuente
