Runtime trust: por qué la autenticación ya no protege a los AI agents

Un agente de inteligencia artificial acaba de pasar la autenticación. Su identidad está verificada. Las credenciales son legítimas. Y en ese preciso momento, los sistemas de seguridad tradicionales dejan de mirar.

Esa es la brecha que Ravindra Annam, arquitecto de ciberseguridad, expone en su análisis para VentureBeat. Una vez que el agente cruza la puerta de entrada, puede hacer casi cualquier cosa: invocar APIs, transferir datos entre sistemas, combinar herramientas, adaptar su comportamiento según lo que encuentre. Ningún factor de autenticación múltiple, ningún control de acceso basado en roles, está observando ese árbol de decisiones en tiempo real. La seguridad tradicional verifica quién eres. Lo que falta es verificar continuamente qué estás haciendo ahora mismo. Annam lo llama runtime trust.

La diferencia no es académica. Annam identifica cinco categorías de riesgo que ya operan en producción y que un firewall convencional no detecta. El goal drift ocurre cuando un agente comienza con un objetivo legítimo pero se desvía: un sistema encargado de preparar un informe de cliente termina extrayendo información confidencial no relacionada porque el modelo cree que más contexto mejorará la respuesta. La excessive tool invocation sucede cuando un agente con acceso a docenas de herramientas llama APIs innecesarias o modifica configuraciones solo porque las considera útiles, sin que nada lo detenga. Memory poisoning es cuando atacantes insertan instrucciones maliciosas en la memoria persistente del agente, contaminando decisiones futuras. Context manipulation permite a los adversarios redirigir el comportamiento autónomo influyendo en los documentos recuperados o el historial de conversación, sin tocar el modelo subyacente. Y multi-agent amplification es quizá la más peligrosa: cuando un agente se equivoca, los agentes downstream confían y amplifican esa acción, creando fallos en cascada.

Este último riesgo resuena con lo que reporta Help Net Security sobre el proyecto OWASP GenAI Security. De 53 proyectos agentic rastreados, 28 son coding agents. Los cinco con más avisos de seguridad — n8n, Claude Code, AutoGPT, Dify y Roo-Code — son frameworks semi-autónomos. La inyección de prompts aparece mapeada a seis de las diez categorías del Top 10 de OWASP para aplicaciones agentic.

Annam desglosa el runtime trust en cinco capacidades que funcionan como un firewall de aplicación para decisiones autónomas. Intent validation evalúa si una acción propuesta sigue alineada con el objetivo del usuario antes de ejecutarla. Behavioral monitoring observa uso de herramientas, actividad de API y patrones de razonamiento para hacer visible lo inesperado. Policy enforcement permite que las políticas empresariales gobiernen lo que el agente hace, no solo lo que puede acceder — bloqueando transacciones sobre cierto umbral o exigiendo aprobación humana para acciones de alto riesgo. Least-privilege execution emite permisos de corta duración según el contexto del runtime. Y human oversight reconoce que no toda decisión debe ser autónoma.

OWASP llevó esta idea más lejos en su State of Agentic AI Security and Governance, presentado en Infosecurity Europe 2026. El Enterprise Adoption Maturity Model cruza el nivel de adopción — desde Shadow AI hasta agentes custom in-house — con la madurez de gobernanza, desde desconocimiento total hasta supervisión integrada y continua. El resultado es una matriz de celdas verdes, amarillas y rojas. El consejo de los autores para las celdas rojas es directo: no operes ahí.

El mercado ya está respondiendo. Okta reportó ingresos de $805 millones en su Q2 fiscal 2026, un crecimiento del 11% interanual, con suscripción RPO de $4.860 millones. La acción subió más del 19% en after-hours, superando los $160. El CEO Todd McKinnon fue explícito: cada agente necesita una identidad confiable y controles claros sobre qué puede acceder y hacer. En agosto de 2026, Okta cerró la adquisición de Permiso Security, anunciada en julio. Permiso aporta detección de amenazas en runtime para identidades humanas, no-humanas y agentic en entornos multi-cloud — exactamente el hueco que Annam describe.

Rob Gregory, CISO de Optiv, lo resume en CRN: la identidad es ahora el perímetro, y los agentes son identidades. Nancy Wang, CTO de 1Password, va más lejos: shadow AI es como shadow IT pero amplificado. Los empleados usan agentes no autorizados con datos de empresa, lo que equivale a una exfiltración silenciosa. Para cualquier startup que construya o despliegue agentes, la pregunta ha cambiado. Ya no es si está autenticado, sino qué está haciendo ahora mismo.