Las "identidades no humanas" de los Agentes de IA: una nueva vulnerabilidad que las organizaciones deben abordar
Los Agentes de IA están generando un gran volumen de "identidades no humanas" (non-human identities) que los sistemas de seguridad tradicionales, diseñados para personas, no logran gestionar, creando así nuevas vulnerabilidades para los atacantes.
La empresa de ciberseguridad Netwrix ha publicado un análisis (en formato de artículo patrocinado en BleepingComputer) señalando que el crecimiento de los Agentes de IA, o programas de IA que operan de forma autónoma, está generando un gran desafío para los sistemas de seguridad corporativos. Esto se debe a que estos Agentes son como "empleados no humanos" que requieren identidades y permisos para acceder a diversos datos, pero la mayoría de los sistemas de seguridad están diseñados únicamente para humanos. Esto crea una "brecha de seguridad de identidad" (Identity Security Gap) que es difícil de detectar y gestionar.
Datos del Non-Human Identity Management Group (NHIMG), un consorcio de la industria, indican que en muchas organizaciones, la proporción de "identidades de máquina" (machine identities) ya supera a la de los usuarios humanos en una proporción de 50 a 1. Por su parte, el informe "2026 Data and Identity Security Report" de Netwrix reveló que las organizaciones donde el uso de IA ha incrementado significativamente el número de identidades tienen una tasa de brechas (breach rate) de hasta el 43%, lo que subraya el riesgo creciente.
Este tipo de vulnerabilidad ya se ha materializado en el caso del grupo de hackers UNC6395, que utilizó un token OAuth (una clave digital para autenticar aplicaciones entre sí) de la aplicación Salesloft Drift para infiltrarse en los sistemas Salesforce de varias empresas. Esto demuestra cómo las conexiones entre aplicaciones y Agentes de IA pueden convertirse en puertas traseras para actores maliciosos.
Esta tendencia también ha sido confirmada por otras fuentes. La empresa de análisis Gartner pronostica que, para 2029, más del 50% de los ataques exitosos contra Agentes de IA explotarán debilidades en el control de acceso (access control), lo que refleja que las estructuras tradicionales de Gestión de Identidad y Acceso (Identity and Access Management - IAM) ya no son suficientes para la era de la IA.
A medida que las organizaciones en Tailandia adoptan cada vez más los Agentes de IA en sus negocios, esta vulnerabilidad relacionada con las "identidades no humanas" se convierte en un riesgo inminente que podría resultar en la fuga de información corporativa crítica y datos personales de los clientes.