Checklist de seguridad de agentes de IA

El hallazgo más común en nuestras auditorías no es un exploit. Es un entorno que nadie tenía anotado: un agente de IDE con credenciales de producción, un bot de CI que quedó de una demo, un server MCP que alguien instaló y olvidó. El riesgo se concentra en los entornos que quedaron fuera del inventario.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Un agente comprometido por injection puede hacer exactamente lo que sus credenciales permiten. Poner el peor caso por escrito convierte un riesgo implícito en una decisión explícita. Hasta ese momento, la empresa está aceptando un riesgo que nadie evaluó.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Los agentes leen la mayor parte del tiempo, pero el daño está casi siempre en las escrituras: mergear código, borrar registros, enviar mensajes, mover fondos. Separar los permisos permite revocar capacidad por capacidad, en lugar de depender de un interruptor único que detiene todo.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

A un modelo se lo puede convencer; el prompt injection existe porque sigue instrucciones en lenguaje natural. El enforcement que se sostiene corre fuera del modelo: un chequeo determinista sobre cada llamada privilegiada antes de que se ejecute. Un system prompt es una probabilidad, no un control.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Los agentes instalan dependencias sin que ningún humano lea el nombre del paquete. Los modelos alucinan nombres plausibles y los atacantes los registran. A eso se suman los typosquats, los scripts que se ejecutan durante la instalación y los servers MCP: código de terceros cuyas descripciones de herramientas entran directo al contexto del modelo.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Filtrar contenido hostil no escala. Las injections llegan por READMEs, issues, páginas web, PDFs, invitaciones de calendario y las descripciones de herramientas de los servers MCP instalados. La postura que se sostiene es la inversa: asumir que todo lo que el agente lee es hostil y diseñar el sistema para que eso no importe.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Los transcripts registran lo que el modelo dijo. Los incidentes se investigan sobre lo que hizo: qué archivos tocó, qué requests envió, qué registros cambió. Si el agente puede modificar sus propios logs, esa evidencia deja de valer justo cuando más se la necesita.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Cuando un incidente, una auditoría o el security review de un cliente pregunta qué tenía permitido hacer un agente en una fecha concreta, la respuesta tiene que poder demostrarse. Una política que vive en una wiki o en la cabeza de alguien no se puede probar y se aleja en silencio de lo que todos creen que dice.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Lo asignado y lo aplicado divergen solos. Un entorno se restaura desde una imagen vieja, un hotfix desactiva el gateway, un deploy sale sin el paso de política. El drift se detecta con una comparación programada, no con buenas intenciones.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

Si todo requiere aprobación, en una semana se aprueba sin leer. Si todo genera alertas, el canal termina silenciado junto con la única alerta que importaba. La revisión escala solo cuando lo alineado permanece en silencio y la atención humana se reserva para las desviaciones.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

El peor momento para descubrir que la revocación no funciona es durante un incidente. Los tokens sobreviven en caches y las sesiones sobreviven a las credenciales rotadas. Un agente actúa en segundos: revocarlo tiene que tomar minutos y estar probado antes de que haga falta.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.

La auditoría inicial describe un sistema que dejó de existir tres sprints después. O el checklist corre en cada cambio de capacidades o se convierte en un documento sobre el pasado.

El paso a paso para correrlo, los criterios de PASS y los red flags están en el PDF.