La nueva superficie de ataque de la IA está en la cadena de permisos

El modelo rara vez actúa solo. Un modelo genera texto, pero un agente empresarial lee carpetas, consulta bases, envía mensajes y llama APIs. Por eso evaluar únicamente el modelo deja fuera la mayor parte del riesgo. La superficie real está formada por identidad, credenciales, conectores, memoria y automatismos. Cada componente puede parecer limitado y, sin embargo, la composición permite alcanzar información o efectos no previstos. El paso final siempre es confirmar el estado real. Una respuesta exitosa de una herramienta no prueba que el cambio persistió ni que otro sistema lo respetó. El readback debe consultar el destino, comparar identificadores y registrar diferencias. Esa disciplina separa intención de resultado y evita reportes de éxito prematuros.

Los permisos se componen. Dos permisos modestos pueden producir uno poderoso. Leer correo y crear tickets, por ejemplo, permite convertir una instrucción maliciosa contenida en un mensaje en trabajo asignado a otra persona. Consultar archivos y publicar en un canal puede filtrar contenido. El análisis debe seguir rutas completas desde una entrada no confiable hasta una salida con consecuencia. Conviene probar la afirmación con una muestra representativa y documentar lo que queda fuera. Los promedios esconden colas y los casos exitosos esconden condiciones de fallo. Una revisión honesta muestra tanto el resultado esperado como el comportamiento ante datos incompletos, permisos revocados y herramientas temporalmente indisponibles.

La memoria prolonga la exposición. La memoria añade duración. Un dato incorrecto, una instrucción persistente o un secreto retenido puede influir en sesiones posteriores. Los equipos necesitan distinguir contexto efímero, historial de usuario, memoria compartida y registro de auditoría. Cada capa requiere propósito, retención y mecanismos de corrección diferentes; borrar una conversación no garantiza haber eliminado todas las copias relevantes. La métrica debe conectarse con una consecuencia de negocio: tiempo ahorrado, error evitado, exposición reducida o decisión acelerada. Contar solicitudes, prompts o usuarios no demuestra valor por sí mismo. Medir antes y después permite corregir el sistema y también decidir con serenidad cuándo detener una iniciativa que no funciona.

La confianza entre agentes crea rutas laterales. Los sistemas multiagente pueden delegar tareas usando identidades distintas. Si un agente confía ciegamente en la salida de otro, la cadena permite movimiento lateral semántico: una instrucción atraviesa fronteras sin volver a validarse. Los contratos deben declarar origen, campos permitidos y nivel de confianza, y cada receptor debe verificar antes de actuar. El paso final siempre es confirmar el estado real. Una respuesta exitosa de una herramienta no prueba que el cambio persistió ni que otro sistema lo respetó. El readback debe consultar el destino, comparar identificadores y registrar diferencias. Esa disciplina separa intención de resultado y evita reportes de éxito prematuros.

El grafo permite priorizar. Un grafo de permisos representa nodos de identidad, datos, herramientas y efectos, con enlaces que muestran quién puede llegar a qué. Superponer frecuencia, sensibilidad y reversibilidad ayuda a encontrar caminos peligrosos. La prioridad no siempre es el permiso más amplio, sino la ruta corta que conecta una entrada externa con un efecto crítico sin checkpoint. Conviene probar la afirmación con una muestra representativa y documentar lo que queda fuera. Los promedios esconden colas y los casos exitosos esconden condiciones de fallo. Una revisión honesta muestra tanto el resultado esperado como el comportamiento ante datos incompletos, permisos revocados y herramientas temporalmente indisponibles.

Implicación para líderes. Para líderes, la conclusión es práctica: pidan un mapa de rutas, no una lista de aplicaciones aprobadas. Revisen cambios de conectores como cambios de arquitectura y exijan pruebas de revocación. Un inventario que no muestra relaciones puede dar falsa tranquilidad; un grafo permite reducir radios de impacto y decidir dónde la revisión humana produce mayor valor. La métrica debe conectarse con una consecuencia de negocio: tiempo ahorrado, error evitado, exposición reducida o decisión acelerada. Contar solicitudes, prompts o usuarios no demuestra valor por sí mismo. Medir antes y después permite corregir el sistema y también decidir con serenidad cuándo detener una iniciativa que no funciona.