La seguridad de agentes de IA es el conjunto de controles, permisos y mecanismos de auditoría que permiten que un agente autónomo opere dentro de una empresa sin actuar fuera de lo que se le autorizó. En la práctica, responde a tres preguntas: quién le da permiso al agente, qué puede hacer exactamente y quién responde cuando se equivoca o alguien lo manipula.
Esa definición dejó de ser teórica en octubre de 2026. Según Axios, varios bancos grandes de Estados Unidos detectaron agentes de IA de terceros operando dentro de cuentas de clientes, algunos ejecutando acciones que el usuario nunca pidió. Y el mismo mes, un código malicioso se coló en una extensión oficial de Claude Code distribuida en el marketplace de Cursor, según reportó Ars Technica.
Los dos casos apuntan al mismo punto: los agentes ya están dentro de los sistemas que usamos a diario, pero las reglas para gobernarlos van atrás. Este artículo explica qué pasó, por qué importa para una empresa en Perú y qué se puede hacer esta semana, sin dramatismo y sin humo.
¿Qué pasó con los agentes de IA en las cuentas bancarias?
Un agente autónomo es un programa que no solo responde preguntas: entra a sitios, hace clics, llena formularios y completa tareas. Cuando eso ocurre dentro de una cuenta bancaria, el banco deja de tener una sola pregunta que resolver y pasa a tener tres: ¿esto lo hizo el cliente, un agente que el cliente aprobó, o algo que nadie autorizó?
Según el reporte citado por TheAiGrid, entidades como Morgan Stanley, Bank of America, JP Morgan y Wells Fargo estaban corriendo para contener el riesgo, restringiendo lo que los agentes pueden hacer y preparándose para escenarios peores. La misma cobertura aclara que no se reportó robo de dinero. Es un detalle importante: el problema no fue el daño consumado, fue la incapacidad de distinguir quién estaba actuando.
Ahí aparece el concepto de identidad digital. Un empleado tiene usuario, contraseña, rol y responsabilidades claras. Un agente, en cambio, muchas veces se conecta con las credenciales de una persona, hereda todos sus permisos y no deja rastro de que fue él y no ella. Para el sistema, son la misma cosa. Para la auditoría, son dos cosas distintas.
Las respuestas del mercado van en dos direcciones opuestas. Walmart lanzó un "agent gateway": una puerta de entrada oficial para agentes de compras aprobados, con topes de gasto y pasos de aprobación. Amazon, en cambio, bloqueó a los agentes de compras de terceros. Son dos filosofías: construir una puerta controlada o cerrar la puerta. Ninguna es gratuita.
¿Por qué un código malicioso en una extensión importa tanto?
El segundo caso es más incómodo porque toca la cadena de herramientas que usamos todos los días. Cursor informó que versiones modificadas de la extensión de Claude Code, las 2.1.312 y 2.1.313 para macOS y Windows, estuvieron disponibles en su marketplace durante aproximadamente once horas el 29 de octubre de 2026, y llegaron a un máximo de 5.000 usuarios según la propia compañía.
El análisis de StepSecurity del 30 de octubre encontró que la build era idéntica a la oficial salvo por un pequeño cargador insertado antes del código legítimo en extension.js. Ese cargador se ejecutaba al cargar la extensión, antes de cualquier conversación con el asistente. Según el aviso de Cursor, recopilaba nombre de host, usuario, sistema operativo, arquitectura, directorio personal, variables de entorno, directorios de trabajo, correo configurado en Git e IP pública; agregaba una clave SSH controlada por el atacante etiquetada como svc-telemetry; y dejaba persistencia mediante un LaunchAgent en macOS o una tarea programada en Windows.
Cursor también fue claro en los límites: el túnel inverso habría fallado en la mayoría de máquinas, porque habilitar SSH requiere permisos de administrador que la extensión no tiene normalmente, y el código malicioso contenía errores. La clave, la persistencia y el reporte del host sí quedaron. Y desinstalar la extensión no elimina nada de eso.
La lección para cualquier equipo de desarrollo es incómoda pero simple: la cadena de herramientas del agente ya es parte de la superficie de ataque. Una actualización de una extensión merece la misma sospecha que cualquier binario que pide vivir en tu máquina. Esto conecta directamente con la ciberseguridad empresarial: no basta con revisar el firewall si el agente entra por la puerta del editor de código.
Aquí conviene una nota de honestidad intelectual. Ninguno de estos dos casos demuestra que los agentes de IA sean intrínsecamente inseguros, ni que vayan a producir pérdidas masivas. Lo que demuestran es más acotado: que los controles de identidad, permisos y auditoría para agentes todavía no están maduros, y que en varios casos ni siquiera existen. Tampoco sabemos cuántos usuarios instalaron realmente la extensión comprometida ni qué se llevó el atacante. Ese vacío de información es, en sí mismo, el hallazgo más citable.
¿Qué significa esto para una empresa en Perú?
La mayoría de empresas peruanas no tiene agentes bancarios ni marketplaces de extensiones. Pero sí tiene algo equivalente: integraciones. Un sistema que se conecta al ERP con un token, un bot que descarga facturas del portal del proveedor, un script que actualiza precios en la tienda online.
La pregunta que conviene hacerse hoy es la misma que se están haciendo los bancos: cuando ese proceso automático hace algo raro, ¿quién lo detecta y en cuánto tiempo? En una PYME, la respuesta suele ser "cuando el contador cuadra el mes". Eso puede ser treinta días de movimientos sin revisar.
Hay un segundo punto, menos técnico y más organizacional. El reporte de Anthropic sobre sus propios empleados, citado por TheAiGrid, mostró que la proporción de personal junior entre sus nuevas contrataciones técnicas cayó de 27% a 9%. Es un dato de una sola empresa y no se puede generalizar a todo el mercado, pero la dirección es clara: el trabajo de entrada se está automatizando. En una empresa peruana eso significa que el junior que antes aprendía revisando reportes ahora tiene que aprender revisando agentes. Y revisar agentes requiere criterio, no solo herramientas.
Para los equipos de TI locales, la prioridad práctica no es comprar la plataforma más avanzada. Es tener inventario. Saber qué agentes autónomos están corriendo, con qué credenciales, a qué sistemas llegan y quién los apagó la última vez.
¿Cómo aplica esto en tu empresa?
Estas son acciones concretas, ordenadas por esfuerzo. Ninguna requiere un presupuesto grande, y todas se pueden empezar esta semana.
- Haz un inventario de agentes e integraciones. Lista cada proceso automático que se conecta a un sistema externo: nombre, responsable, credenciales que usa y a qué tiene acceso. Si no cabe en una hoja de cálculo, ya tienes tu primer problema.
- Separa identidades. Un agente no debería usar las credenciales de una persona. Crea cuentas de servicio con permisos mínimos y nombres que digan claramente qué son, para que la auditoría los reconozca.
- Pon topes. Límites de gasto, de volumen de operaciones y de horario. El "agent gateway" de Walmart no es magia: es un conjunto de límites y aprobaciones.
- Define quién responde. Antes de conectar cualquier agente a algo sensible, escribe en una línea quién es el dueño del proceso y a quién se llama cuando falla. Si nadie firma, no lo conectes.
- Revisa tus extensiones y dependencias. Cursor publicó comandos para verificar si una clave sospechosa quedó en authorized_keys. La idea general sirve: revisa qué se instaló, cuándo y desde dónde.
- Rota credenciales con criterio. Si hubo una exposición, la rotación se hace desde una máquina confiable y en orden: primero las llaves, después los accesos.
Si quieres revisar cómo están tus integraciones actuales y qué tan expuestas están, puedes conversar con nosotros sobre tu caso. También puedes revisar otros artículos en el blog de Consultoría TI.
Preguntas Frecuentes
¿Qué es un agente de IA y en qué se diferencia de un chatbot?
Un chatbot responde preguntas dentro de una conversación. Un agente de IA además ejecuta acciones: entra a sistemas, hace clics, llena formularios, envía correos y completa tareas de varios pasos. Esa capacidad de actuar es justamente lo que lo vuelve útil y, al mismo tiempo, lo que exige controles de permisos y auditoría que un chatbot no necesitaba.
¿Cómo sé si mi empresa tiene agentes de IA corriendo sin control?
Busca cuentas de servicio, tokens de API y tareas programadas que nadie recuerda haber creado. Revisa qué integraciones se conectan a tu ERP, a tu banca por internet o a tu tienda online, y verifica si usan credenciales de una persona en lugar de una cuenta propia. Si no puedes listar esos accesos en una hoja, es señal de que están sin control.
¿Vale la pena prohibir los agentes de IA en la empresa?
Prohibirlos rara vez funciona, porque el equipo los usa igual desde su navegador personal. El enfoque que están adoptando las empresas grandes es el opuesto: construir una puerta de entrada controlada, con identidades propias, topes de gasto y pasos de aprobación. Prohibir reduce el riesgo visible, no el real.
Conclusión: ¿qué hacer con la seguridad de agentes de IA?
Los dos casos de octubre de 2026 son incómodos por razones distintas. El de los bancos muestra que la industria todavía no sabe distinguir entre un humano y un agente. El de la extensión muestra que incluso una herramienta firmada por una empresa seria puede ser manipulada en el canal de distribución, y que once horas bastan para llegar a miles de máquinas.
Ninguno de los dos justifica frenar la adopción. Justifica algo más aburrido y más útil: poner orden. Inventario, identidades separadas, permisos mínimos, topes y un responsable con nombre. Es el mismo trabajo que se hizo con los usuarios hace veinte años, aplicado ahora a programas que actúan solos.
Si quieres revisar por dónde empezar en tu empresa, puedes contactar a Consultoría TI y conversamos sobre tu caso concreto.
Por Edgar Vásquez, Consultoría TI · actualizado el 31 de octubre de 2026
Fuentes y Referencias
- TheAiGrid (YouTube) — resumen de las noticias de IA de las últimas dos semanas, incluidos los casos bancarios y el informe de Anthropic.
- Ars Technica — cobertura de la extensión comprometida y su ventana de exposición.
- StepSecurity (vía Medium) — análisis técnico del cargador insertado en extension.js.
- AI Lately — resumen del alcance reportado del incidente en el marketplace de Cursor.
✨ Contenido generado con ContentFlow — Consultoría-Ti