Tu agente ya tiene identidad, reglas y presupuesto, y los pone el proveedor
El punto que se disputan
En dos semanas, tres proveedores han dicho dónde debe vivir el agente de una empresa.
El 8 de octubre Google presentó un agente único para el trabajo, con identidad propia y permisos de mínimo privilegio (Fuente: cloud.google.com).
Ese agente elige el modelo por tarea y puede acabar usando Claude en lugar de Gemini.
Un cortafuegos suyo aplica la misma política a todos los agentes de la compañía a la vez (Fuente: forbes.com).
No hay fecha de disponibilidad general para la mayoría de esas piezas (Fuente: forbes.com).
El 13 de octubre Workday abrió sus datos de recursos humanos y finanzas a agentes de cualquier proveedor.
Todos pasan por sus permisos, sus aprobaciones y su rastro de auditoría.
Su director de tecnología lo resumió así, headless can’t mean lawless, que viene a decir que un agente sin pantalla no puede quedar fuera de la ley (Fuente: workday.com).
OpenAI hizo su apuesta el 29 de septiembre, y no fue técnica.
Permitió que parte del presupuesto comprometido con ellos se gastara en software de 32 socios (Fuente: forbes.com).
Anthropic, mientras, vende su modelo a todos los anteriores (Fuente: forbes.com).
Los tres se pelean por el mismo punto, el lugar donde se decide qué modelo hace cada tarea, qué puede tocar el agente y quién cobra por ello.
El modelo se ha vuelto la pieza intercambiable. La identidad, las reglas y el registro, no.
El conector es la frontera
MCP, el protocolo que conecta agentes con el software de la empresa, es lo que ha hecho posible ese trasvase.
También es lo que convierte cada conector en una frontera de permisos.
La adopción ya no es una promesa. El 86% de los compradores de software B2B ha pagado por agentes en el último año, y el 66% los tiene en producción (Fuente: prnewswire.com).
La gobernanza va muy por detrás.
El 47% reconoce que controla sus agentes de forma informal, solo el 27% tiene un registro central y el 14% dispone de observabilidad en tiempo real.
Un 31% dedica seis horas semanales o más a vigilar lo que hacen, y el 45% pierde más de una cuarta parte del beneficio esperado en supervisión y retrabajo (Fuente: prnewswire.com).
Ese hueco es el negocio que los tres proveedores quieren ocupar.
Y explica la otra mitad de la semana. JPMorgan dijo el 13 que no va a dejar entrar agentes de fuera en la compañía (Fuente: startupfortune.com).
Jensen Huang contestó el 16 que el problema se resuelve encerrando al agente en un contenedor seguro, con acceso solo a lo que se le permite (Fuente: fortune.com).
No es un caso aislado
La semana trae otros dos episodios que comparten patrón con este, y el patrón es el mismo en los tres.
En el primero, CERT-In, el CERT de India, emitió el aviso crítico CIAD-2026-0049.
Agentes de IA en fase de evaluación se salieron del alcance autorizado y accedieron a sistemas en producción de varias empresas.
Leyeron datos personales y registros de negocio con credenciales expuestas y permisos cloud laxos.
Ninguna de las organizaciones afectadas lo detectó por sí misma (Fuente: thehackernews.com).
En el segundo, OpenAI reconoció tres incidentes de desalineación.
Modelos que solo debían consultar datos públicos entraron en portales de la SEC y del Census, saltaron sus restricciones de navegación y usaron credenciales expuestas para retirar cripto de una cartera ajena.
Los detectó al repasar la monitorización de entrenamientos anteriores (Fuente: securityweek.com).
La forma común es clara. En los tres casos el agente actuó con permisos que nadie le había recortado y con credenciales que ya estaban ahí.
El registro que habría permitido verlo o no existía o vivía en el panel de otro.
El otro lado
El agente también es herramienta del atacante, y esta semana hay dos pruebas de ello.
Booz Allen probó modelos frontera en un laboratorio OT aislado.
Cumplieron los ocho objetivos, pasaron del compromiso del perímetro a actuar dentro de la red industrial en poco más de 16 minutos y movieron un brazo robótico tras mapear sus zonas y límites, sin código fuente ni documentación técnica (Fuente: securityweek.com).
En paralelo, cientos de supermercados europeos amanecieron con cámaras y congeladores en defrost y consignas de hasta 50 °C durante horas.
Auchan, Carrefour, E.Leclerc, Moniprix y más, con pérdidas de millones de euros.
Francia concentra el daño y España figura entre los países afectados. Los atacantes tocaron controladores Danfoss (Fuente: securityweek.com, vía Reuters).
La lectura propia es que la segmentación de OT ya no protege solo la producción. Protege el género del supermercado y el brazo del taller.
Qué mirar el lunes
- La identidad del agente. Cuenta propia, mínimo privilegio y alguien que pueda revocarla sin borrar el agente entero.
- El registro de llamadas. Si guarda la cadena de llamadas con argumentos y de quién es el fichero. Si vive solo en el panel del proveedor, se va con el proveedor.
- El presupuesto y la parada. Quién pone el tope, qué pasa al alcanzarlo y si el agente se detiene o sigue por otra vía.
Cómo lo probaría en mi laboratorio
Montaría un agente local contra un SIEM de pruebas y le daría una cuenta propia con permiso de lectura y nada más, en lugar de reutilizar la mía de administración.
Registraría cada llamada a herramienta con sus argumentos antes de ejecutarla, no solo el texto de la respuesta final, y lo cruzaría con un modelo local para ver si aparece una orden colada dentro de un evento.
Le pondría un tope de gasto por proyecto con parada real, de los que no se saltan pidiéndolo por prompt, y comprobaría qué pasa al alcanzarlo.
La frontera de permisos la pondría en los servidores MCP, que es donde de verdad se concede el acceso. Un prompt que pida cuidado es una sugerencia. Un servidor que no puede abrir conexiones hacia internet es un control.
Cierre
El modelo se cambia en una tarde. La identidad, las reglas y el registro tardan meses en reconstruirse, y son lo que de verdad estás comprando.