Seguridad de agentes de IA: el stack como un cuerpo humano

Hay una forma sencilla de entender un stack de inteligencia artificial: como un cuerpo humano. El modelo de lenguaje es el cerebro, el RAG es el cerebro con una biblioteca, el MCP es el sistema nervioso, las skills son la memoria muscular y el agente es el cerebro con manos. La analogía sirve, pero le falta un órgano, y es el que explica casi todos los incidentes que vemos en nuestras auditorías de IA: el sistema inmune. La mayoría de las empresas construye las dos primeras capas y se detiene. Las que siguen conectan herramientas y automatizan acciones sin nada que detecte, aísle o frene un ataque. Este artículo recorre las cinco capas, el punto débil típico de cada una según el OWASP Top 10 para aplicaciones con LLM 2026 y el chequeo que conviene hacer antes de seguir construyendo.

LLM, RAG, MCP, skills y agentes como órganos, con el riesgo OWASP 2026 de cada capa; el sistema inmune es la seguridad de la IA.

1. LLM, el cerebro: entiende, escribe y razona

El modelo de lenguaje solo sabe lo que aprendió en su entrenamiento y lo que usted le pone en el contexto. Es la capa donde casi todas las empresas empiezan: un asistente para redactar, resumir o responder preguntas.

El punto débil: divulgación de información sensible (LLM02:2026) y exposición del contexto oculto (LLM08:2026). El modelo repite datos que vio en una conversación anterior o deja ver sus instrucciones internas, las herramientas que tiene y las reglas que lo gobiernan.

El chequeo: qué datos entran al modelo, quién puede verlos y si el proveedor los usa para entrenar. Un inventario honesto empieza por la IA en la sombra que ya usan sus equipos.

2. RAG, el cerebro con biblioteca: responde con sus documentos

La generación aumentada por recuperación (RAG) busca en sus documentos antes de responder y fundamenta la respuesta en datos propios. Es el segundo paso natural y, para muchas empresas, el último.

El punto débil: debilidades en vectores y embeddings (LLM09:2026) y envenenamiento de datos (LLM05:2026). Si la base vectorial no separa permisos, un usuario recupera documentos que no debería ver. Si alguien mete un documento con instrucciones escondidas, el modelo las obedece al leerlo.

El chequeo: la biblioteca hereda los permisos de los documentos originales, se revisa qué se indexa y se prueba con un usuario sin privilegios qué alcanza a recuperar.

3. MCP, el sistema nervioso: un solo enchufe para herramientas y datos

El Model Context Protocol (MCP) es un estándar abierto para conectar aplicaciones de IA con archivos, bases de datos, APIs y herramientas; sus autores lo describen como el puerto USB-C de la IA. Aquí el stack deja de solo responder y empieza a tocar sistemas reales.

El punto débil: cadena de suministro (LLM04:2026) y agencia excesiva (LLM03:2026). OWASP documenta un servidor MCP de base de datos corriendo con credenciales de administrador que permitió volcar una base de producción saltándose la seguridad por filas, y un paquete MCP malicioso que copiaba en secreto los correos enviados a un atacante.

El chequeo: cada servidor MCP se fija a una versión verificada, corre con la mínima credencial posible y se audita la descripción de sus herramientas, porque el modelo la lee como una instrucción.

4. Skills, la memoria muscular: saber hacer guardado

Una skill es una carpeta con un archivo de instrucciones que el agente carga solo cuando una tarea lo necesita; es un formato abierto que ya adoptan varios productos. Es cómodo: el conocimiento repetido queda empaquetado y versionado.

El punto débil: de nuevo la cadena de suministro (LLM04:2026 y ASI04 de la lista agéntica de OWASP). Una skill descargada de un repositorio público es código y texto que se ejecutan con los permisos del agente; OWASP pone como ejemplo una skill maliciosa publicada en un repositorio de código abierto.

El chequeo: las skills se tratan como dependencias de software: revisión antes de instalar, origen conocido, versión fija y un registro de cuáles están activas.

5. Agente de IA, el cerebro con manos: planea y actúa

El agente planea los pasos y usa herramientas para actuar, no solo para contestar. Envía correos, crea tiquetes, cambia registros y ejecuta comandos. Es la capa con más valor y con más consecuencias.

El punto débil: inyección de instrucciones (LLM01:2026) convertida en secuestro del objetivo del agente (ASI01) y uso indebido de herramientas (ASI02). Un texto plantado en un correo, un tiquete de soporte o un issue público es leído por el agente con las credenciales de su empresa y termina ejecutando lo que el atacante escribió. OWASP cita un caso en el que un issue envenenado sirvió para extraer repositorios privados.

El chequeo: el agente actúa con identidad propia y permisos acotados (ASI03), las acciones irreversibles piden confirmación humana y se prueba como lo haría un atacante.

El órgano que falta: el sistema inmune

Anatomía del ataque descrito en el artículo.

Un cuerpo con cerebro, biblioteca, nervios, memoria muscular y manos, pero sin sistema inmune, no sobrevive a la primera infección. En la IA el sistema inmune es la seguridad y la gobernanza de la IA: saber qué IA existe en la empresa, qué puede tocar cada capa, probarla de forma controlada y tener reglas y responsables. Que la agencia excesiva haya subido al tercer puesto del OWASP Top 10 2026 dice mucho de hacia dónde van los incidentes. Así lo cubrimos en T.I. RESCUE:

Inventario y clasificación: qué modelos, asistentes, agentes, servidores MCP y skills usa la empresa, y qué nivel de riesgo tiene cada caso según el clasificador de riesgo de IA.

Pruebas técnicas: intentos de inyección, extracción de datos y acciones no autorizadas contra sus asistentes y agentes, con base en OWASP, dentro de la auditoría de IA o del pentest.

Gobierno: política de uso, evaluación de impacto y controles del ciclo de vida con ISO 42001, que ya cubre proveedores, datos y uso responsable.

Reglas claras para las personas: la política de uso aceptable se redacta en minutos con el generador de política de uso de IA, y los marcos se comparan en ISO 42001 vs NIST AI RMF vs Ley de IA de la UE.

¿Por dónde empezar?

Haga el inventario con el checklist de IA en la sombra: no se protege lo que no se conoce.

Si ya tiene RAG, pruebe con un usuario sin privilegios qué documentos recupera.

Si conecta MCP o skills, fije versiones, revise orígenes y quite credenciales de administrador.

Si tiene agentes, pida una prueba controlada antes de darles acceso a correo, pagos o producción.

Mida su gobernanza con la autoevaluación ISO 42001 y lea qué exige la ISO 42001.

Preguntas frecuentes sobre seguridad del stack de IA

¿Qué es un stack de IA?

Es el conjunto de capas con las que una empresa usa inteligencia artificial: el modelo de lenguaje (LLM), la recuperación de documentos (RAG), los conectores a herramientas y datos (MCP), las skills con instrucciones reutilizables y los agentes que planean y actúan.

¿Por qué LLM + RAG no es suficiente?

Porque resuelve responder con datos propios, pero no gobierna quién accede a qué, no prueba la aplicación contra ataques y no prepara la empresa para la siguiente capa, los agentes que actúan con permisos reales.

¿Qué es MCP y por qué es un riesgo?

El Model Context Protocol es un estándar abierto para conectar la IA con archivos, bases de datos y APIs. El riesgo está en servidores MCP de origen dudoso o con credenciales de más: el OWASP Top 10 2026 documenta casos de volcado de bases de datos y robo de correo.

¿Qué es la agencia excesiva?

Es el riesgo LLM03:2026 de OWASP: un agente con más funciones, permisos o autonomía de los que la tarea necesita, que al recibir una instrucción maliciosa actúa en nombre de la empresa.

¿Cómo ayuda T.I. RESCUE?

Con inventario y clasificación de la IA en uso, pruebas técnicas contra asistentes y agentes con base en OWASP, y gobierno con ISO 42001 y NIST AI RMF, desde una auditoría puntual hasta el acompañamiento para certificarse.

Fuentes

OWASP GenAI Security Project. OWASP Top 10 for LLM Applications 2026. 2026 https://genai.owasp.org/llm-top-10/
OWASP GenAI Security Project. OWASP Top 10 for Agentic Applications 2026. 2025 https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
Model Context Protocol. What is MCP and security best practices. 2026 https://modelcontextprotocol.io/
Agent Skills. Agent Skills overview and specification. 2026 https://agentskills.io/

Controles y monitoreo que cortan el ataque.

¿Su IA ya tiene manos? Pida un chequeo de su stack

Inventario, pruebas controladas contra asistentes y agentes, y gobierno con ISO 42001. Un informe priorizado, sin frenar la operación.

Ver la auditoría de IA

Su stack de IA explicado como un cuerpo humano: por qué quedarse en LLM + RAG lo deja sin sistema inmune