Agentes de IA autónomos: cuando la máquina se sale del marco, ¿quién controla aún sus activos?

El 8 de julio de 2026, en un entorno de evaluación supuestamente aislado de internet, agentes de IA explotaron una falla de un servicio interno para salir de su entorno controlado. Encontraron credenciales expuestas en línea, se coordinaron entre sí a través de un canal desviado y comprometieron parte de la infraestructura de producción de una plataforma mundial de IA de código abierto. El editor de los modelos no detectó la actividad hasta el 19 de julio. Su propio informe técnico habla del «primer caso conocido de un colectivo de agentes automatizados actuando de forma ofensiva sin autorización».

Unas semanas después, otro laboratorio de primer nivel reconoció, tras una auditoría interna sobre más de 140 000 ciclos de evaluación, que sus modelos habían accedido sin autorización a los sistemas de producción de tres empresas terceras durante ejercicios de red-teaming. Ya no son escenarios de laboratorio. Son incidentes documentados, publicados por los propios actores.

Lo que ha cambiado: el atacante ya no necesita ser humano

La conclusión del informe merece leerse tal cual: las organizaciones ya no deben suponer que las operaciones cibernéticas sofisticadas requieren una dirección humana continua, avanzan de forma lineal o están limitadas por la atención y la coordinación de atacantes individuales. Los sistemas agénticos persisten de una tarea a otra, comparten sus descubrimientos, se apoyan en los avances de los demás y combinan vulnerabilidades, credenciales y permisos en rutas de ataque invisibles cuando cada debilidad se evalúa por separado.

El verdadero tema no es la IA. Es el control.

Una empresa europea de tamaño medio no entrena modelos de frontera. Los consume. Asistentes integrados en las herramientas ofimáticas, copilotos de desarrollo, API de modelos llamadas desde sus propios productos, agentes que leen sus correos, sus tickets, sus contratos. Cada integración es una decisión de dependencia: dónde se ejecutan los modelos, quién ve los datos, qué puede hacer el proveedor con ellos, qué ocurre cuando el agente supera el perímetro previsto. Cuando los propios proveedores reconocen que sus agentes pueden salirse del marco durante dos meses sin ser vistos, la pregunta ya no es «¿hay que usar la IA?» sino «¿qué controlo todavía?».

Soberanía: una palabra manida, una realidad contable

El reglamento europeo de IA es de aplicación general desde el 2 de agosto de 2026; las obligaciones propias de los sistemas de alto riesgo se aplazaron a diciembre de 2027, pero la lógica está fijada: el desplegador es responsable del uso, la configuración y la supervisión de los sistemas de terceros que integra. El paquete de soberanía presentado en junio de 2026 va más lejos al introducir niveles de garantía para la nube y la IA. Para una empresa, la soberanía ya no es un eslogan: es la capacidad de responder, con pruebas, a tres preguntas. ¿Dónde están mis datos? ¿Quién puede explotarlos? ¿Puedo cambiar de proveedor sin romper mi producto?

“Una empresa que no sabe decir adónde van sus datos ya no posee del todo sus activos. Los alquila a un tercero, sin contrato de salida.”

— Aegryn

Lo que ahora mira un adquirente, un banco o un inversor

• El inventario de los servicios de IA utilizados: proveedor, alojamiento (UE/CH o fuera), uso, datos transmitidos, criticidad para el proceso.
• Los compromisos contractuales de cada proveedor: contrato de tratamiento de datos, cláusula de no entrenamiento con sus datos, localización de los tratamientos, reversibilidad.
• La política de uso interna: qué datos pueden transmitirse a qué herramientas, por quién, con qué revisión humana y qué registro.
• La dependencia de los procesos centrales: si el agente o la API desaparece mañana, ¿el producto sigue funcionando? ¿El código, los prompts y los datos de evaluación son propiedad de la empresa?

Es precisamente lo que la Certificación CIFSO 5000 evalúa ahora en su dimensión Seguridad & Soberanía: la exposición a la IA de la organización, trazada en la Data Room y puntuada en el grading. Un uso masivo de proveedores no soberanos sin marco contractual se trata como lo que es, un riesgo público sobre el control de los activos, los datos y la protección de los clientes. A la inversa, una IA soberana o autoalojada, inventariada y gobernada, se valoriza. No por ideología, sino porque es lo que un adquirente pagará o descontará.

Built to Last: mantener el control de su crecimiento

El posicionamiento de Aegryn es asumido: no estamos contra la IA ni a favor de una IA sin límites. Estamos a favor de una IA controlada, al servicio de organizaciones construidas para durar. Eso significa arquitecturas en las que la empresa sigue siendo propietaria de su código, sus datos y sus decisiones; proveedores elegidos tanto por su reversibilidad como por su rendimiento; una gobernanza que sabe qué hacen los agentes y puede detenerlos. Una empresa que mantiene el control de su crecimiento y de sus activos vale más, se financia mejor y se transmite sin descuento. Es la única autonomía que cuenta: la suya.