En DEF CON, la firma Tenet Security demostró un ataque al que llamó GhostJacking. Un agente de IA de seguridad revisaba los registros de firewall de una empresa, encontró una instrucción maliciosa que un atacante había dejado oculta dentro de un ataque ya bloqueado, la interpretó como una orden legítima y reescribió el DNS de la compañía. En las pruebas de Tenet, Claude Code sobre Sonnet 4.6 siguió esa instrucción en 9 de cada 10 intentos, usando credenciales que la empresa le había dado meses antes.
El fallo no está en el modelo, está en el diseño: nadie separó la lectura de un dato de la capacidad de actuar sobre él. Tenet encontró la misma brecha en 48 organizaciones, seis de ellas del Fortune 500. OWASP, la organización que fija el ranking de riesgos de seguridad en aplicaciones con IA, subió este año la categoría "Excessive Agency" del puesto 6 al 3 — el mayor salto de toda la lista de 2026.
El problema no es exclusivo de la seguridad informática. Una encuesta reciente a más de cien responsables de seguridad empresarial confirma el patrón de fondo: el 53% ya vivió un incidente o un casi-incidente provocado por un agente. Entre las empresas que solo controlan permisos sin aislar al agente de los sistemas críticos, el 58% sufrió uno. Solo el 8% combina las dos capas de control a la vez.
Para Marta esto cambia la pregunta que hay que hacerle a cualquier proveedor de agentes de IA. No es "qué tan bueno es el modelo", es "qué puede hacer sin que nadie lo apruebe". Un agente conectado a nóminas, facturación o al CRM hereda el mismo riesgo que uno conectado a un firewall: si tiene las credenciales de un empleado con acceso total, actuará como uno — incluso cuando el dato que lo empuja a actuar es una instrucción que nadie de la empresa escribió.
El ajuste que propone Steve Wilson, co-líder de OWASP, es fácil de enunciar y más difícil de instalar: separar quién propone un cambio de quién lo aprueba. El agente puede redactar el cambio de DNS, la baja de un proveedor o la corrección de una factura — pero no ejecutarlo sin que una persona lo confirme cuando el impacto es alto. Es la diferencia entre un agente que ayuda y uno que decide solo.
Qué hacer esta semana: listar qué agentes de IA tiene la empresa conectados hoy a sistemas críticos —dominio, banca, nóminas, CRM— y qué credenciales usan. Si la respuesta es "las mismas que un administrador", ese es el primer sitio donde meter una aprobación humana antes de dar más autonomía. No hace falta ser un banco para tener este riesgo: hace falta tener un agente con acceso y ninguna barrera detrás.