La inteligencia artificial agente está transformando la forma en que las empresas automatizan procesos, toman decisiones y gestionan flujos de trabajo. Sin embargo, con cada avance tecnológico surgen nuevas superficies de ataque. Microsoft ha dado un paso al frente al identificar siete nuevos modos de fallo en los sistemas de IA basados en agentes, sumándose a los ya catalogados en su primera Taxonomía de Modos de Fallo en Sistemas de IA Agente publicada el año pasado. Esta actualización no solo refleja la rápida evolución del ecosistema, sino que también subraya la necesidad de que los equipos de seguridad, especialmente aquellos que trabajan en hacking ético y pruebas de penetración, integren estos vectores en sus evaluaciones.

Factores que impulsan la expansión de la taxonomía

Microsoft señala cuatro factores clave que han contribuido a esta ampliación. En primer lugar, la velocidad de adopción de la IA agente ha sido vertiginosa, lo que ha multiplicado los escenarios de uso y, por ende, los posibles fallos. En segundo lugar, la madurez creciente del ecosistema del Model Context Protocol (MCP) ha abierto nuevas vías de interacción entre agentes, pero también nuevas vulnerabilidades. El auge de los agentes con capacidad de uso del ordenador (Computer Use Agents) añade una capa de complejidad al operar sobre interfaces gráficas. Finalmente, la recopilación de más evidencia empírica por parte de investigadores ha permitido identificar patrones de ataque que antes pasaban desapercibidos.

Los siete nuevos modos de fallo en detalle

Cada uno de estos modos de fallo representa un riesgo específico que los equipos de seguridad deben conocer y mitigar. A continuación, los desglosamos con un enfoque analítico.

1. Agentic Supply Chain Compromise

El comportamiento de un agente puede verse afectado por instrucciones en lenguaje natural, sin necesidad de código malicioso. Esto abre la puerta a ataques que manipulan las indicaciones del agente durante su ciclo de vida, desde el desarrollo hasta el despliegue. En el contexto de la automatización de procesos empresariales con n8n e IA, un agente comprometido podría ejecutar acciones no deseadas si las cadenas de suministro no están adecuadamente protegidas.

2. Goal Hijacking

Instrucciones adversarias que parecen alineadas con la tarea legítima, pero que redirigen silenciosamente el objetivo final del agente. Este ataque es particularmente peligroso porque no activa las alarmas tradicionales: el agente sigue trabajando, pero hacia un fin malicioso. Las empresas que implementan agentes para tareas críticas deben establecer mecanismos de verificación continua de objetivos.

3. Inter-Agent Trust Escalation

Un agente comprometido puede afirmar una identidad falsa o inflar los permisos que declara ante un orquestador. Esto puede llevar a que agentes no autorizados accedan a recursos sensibles. La recomendación de Microsoft es verificar la identidad del agente de forma criptográfica, no basada en su posición en la red, algo que resuena con las mejores prácticas de configuración de VPNs seguras y firewalls.

4. Computer Use Agent (CUA) Visual Attack

Los agentes que operan mediante interfaces gráficas pueden ser manipulados a través de contenido visual que contiene instrucciones adversarias. Por ejemplo, un agente que lee correos electrónicos o navega por la web podría ser engañado por una imagen maliciosa. Este vector de ataque es novedoso y requiere controles específicos en el procesamiento de entradas visuales.

5. Session Context Contamination

Un adversario introduce datos que sesgan el razonamiento del agente en pasos posteriores, sin activar los controles de seguridad en ningún paso individual. Esto es similar a un ataque de inyección de contexto, donde la información contaminada se propaga a lo largo de la sesión. Las empresas deben auditar los datos de entrada en cada etapa del flujo de trabajo del agente.

6. MCP / Plugin Abuse

Esta actualización cubre el compromiso de funciones en torno a protocolos MCP y plugins, específicamente las superficies de ataque propias de dichos protocolos. A medida que más agentes se conectan a través de MCP, los atacantes pueden explotar debilidades en la implementación de estos protocolos para tomar el control.

7. Capability / Architecture Disclosure

Un agente revela detalles internos de implementación como nombres de herramientas, esquemas, estructura del system prompt, interfaces de memoria o lógica de activación de consentimiento humano en el bucle (human-in-the-loop). Esta fuga de información puede ser utilizada por atacantes para diseñar ataques más precisos. Es crucial que los agentes no expongan más información de la necesaria.

Recomendaciones de Microsoft para los equipos de seguridad

Microsoft aconseja a los equipos de seguridad que utilicen estas definiciones para influir en su planificación. En concreto, recomiendan:

• Inventariar la cadena de suministro generando una Software Bill of Materials (SBOM) para cada agente desplegado, similar a lo que se hace en el crecimiento del mercado MSP donde la transparencia es clave.
• Verificar la identidad del agente de forma criptográfica mediante la emisión de credenciales verificables en el aprovisionamiento.
• Añadir los siete nuevos modos de fallo a la matriz de cobertura de red team, integrando así estas amenazas en las pruebas de penetración habituales.
• Auditar la experiencia de usuario en escenarios de humano en el bucle como un control de seguridad, asegurando que los humanos puedan detectar comportamientos anómalos.

Estas medidas son particularmente relevantes para empresas que buscan optimizar costes de inferencia, como se discute en De Anthropic a DeepSeek, donde la eficiencia no debe comprometer la seguridad.

Implicaciones para el futuro de la IA agente

La ampliación de la taxonomía de Microsoft no es solo una advertencia, sino una guía para que desarrolladores y administradores de sistemas construyan agentes más robustos. A medida que la IA agente se integra en más procesos empresariales, desde la automatización hasta la toma de decisiones, la seguridad debe ser un pilar fundamental. Los equipos de seguridad deben estar al tanto de estas nuevas amenazas y adaptar sus estrategias en consecuencia. La colaboración entre investigadores, empresas y proveedores de tecnología será esencial para mantener la confianza en estos sistemas.

Fuente original: ComputerWorld. Análisis y adaptación por ForgeNEX.