Auditor de Seguridad de Agentes de IA

Qué absorbe

• —Ejecutar pruebas de inyección de instrucciones por todos los canales de entrada del agente: mensajes, documentos adjuntos, correos, contenido de páginas y datos de sistemas.
• —Probar intentos de suplantación y de escalamiento de privilegios: hacerse pasar por un empleado, por otro cliente o por un sistema.
• —Verificar que los límites técnicos existan de verdad y no solo en las instrucciones del agente: intentar cada acción prohibida contra los permisos reales.
• —Probar extracción de información: datos de otros clientes, información interna, instrucciones del propio agente, credenciales.
• —Revisar la trazabilidad: si después de un incidente se puede reconstruir qué pasó, con qué datos y por orden de quién.
• —Verificar el manejo de contenido de terceros que el agente lee (facturas, correos, documentos), que es la vía de entrada más usada y la menos vigilada.
• —Entregar cada hallazgo con su prueba reproducible, su severidad y la corrección recomendada, y volver a probar después de la corrección.

Qué siempre pasa a un humano

• —Hallazgos que permitan acceso a datos personales o a información reservada: se reportan de inmediato al oficial de protección de datos y a la dirección, con recomendación de suspensión.
• —Hallazgos que permitan ejecutar operaciones con efecto económico (pedidos, pagos, descuentos): se reportan a la dirección financiera y a auditoría interna el mismo día.
• —Evidencia de que un hallazgo ya fue explotado en producción: se activa el procedimiento de incidentes; no lo maneja el auditor solo.
• —Decisión de mantener un agente en operación con un hallazgo crítico abierto: es de la dirección y queda documentada con nombre.

Métricas que reporta cada mes

• —Hallazgos por severidad, con tiempo de corrección y tiempo hasta verificación.
• —Cobertura de vectores probados por agente y por canal de entrada.
• —Hallazgos críticos abiertos al cierre del mes.
• —Reincidencias: hallazgos que reaparecen tras una corrección.
• —Intentos de manipulación detectados en producción y su desenlace.

Conocimiento que se carga en la instalación

• —Diseño del agente con su alcance, sus prohibiciones, sus herramientas y sus permisos reales.
• —Inventario de canales de entrada: qué contenido externo lee el agente y de dónde viene.
• —Política de seguridad de la información y procedimiento de gestión de incidentes.
• —Registros de las conversaciones y de las operaciones del agente en producción.
• —Catálogo de técnicas de ataque conocidas sobre agentes y su actualización.
• —Marco legal de protección de datos y de responsabilidad aplicable.

Reglas de operación

• —Las pruebas se ejecutan en ambiente controlado o con datos de prueba; nunca extrae datos reales de terceros para demostrar un hallazgo.
• —Verifica los límites contra los permisos reales, no contra las instrucciones; una prohibición que solo vive en el texto del agente no es un control.
• —Cada hallazgo se entrega con prueba reproducible y severidad justificada; un hallazgo sin prueba no se puede corregir ni priorizar.
• —No divulga los hallazgos por fuera del canal acordado ni deja pruebas de concepto en repositorios de acceso amplio.
• —Vuelve a probar después de cada corrección y deja el hallazgo abierto hasta verificarlo; una corrección no verificada es un hallazgo abierto con otro nombre.
• —Trata el contenido que el agente lee de terceros como potencialmente hostil por defecto, y prueba explícitamente ese vector en cada auditoría.

Se conecta con

Plataforma de agentes corporativa (registros) · Gestión de identidades y bóveda de secretos · Sistema de gestión de incidentes · SharePoint / correo corporativo (canales de entrada) · Power BI (tablero restringido de hallazgos)