Riesgo de los agentes de IA y riesgo humano

La conclusión: gobernar agentes de IA no prueba que las personas cambiaron su comportamiento

Vigilar a un agente de IA y validar a una persona son dos cosas distintas, y conviene no confundirlas. Poner barandas a un agente autónomo, registrar lo que hace y limitar sus permisos resuelve un problema real: el del software que actúa por su cuenta. Pero no dice nada sobre si la persona que recibe un correo fraudulento a las cinco de la tarde de un viernes va a caer o no. El riesgo de la persona se mide observando cómo se comporta bajo presión de un engaño, y eso no se gobierna desde el panel de control de un agente.

Lo decimos de entrada porque el ruido de 2026 empuja en la dirección contraria. La conversación se mueve hacia los agentes, y es fácil dar por hecho que controlarlos cubre también la parte humana. No la cubre. Son superficies de riesgo separadas que se miden con instrumentos separados, y tratarlas como una sola deja un hueco justo donde más entran los atacantes.

Qué cambió en 2026: el mercado corre a vigilar agentes autónomos

En lo que va del año, la gobernanza de los agentes de IA pasó de tema de conferencia a categoría de producto. Las empresas empezaron a desplegar agentes que ejecutan flujos de trabajo completos sin una persona revisando cada paso, y con eso apareció la pregunta inevitable: quién responde cuando un agente con permisos amplios toma una decisión equivocada. Gartner ubicó la gobernanza de agentes, la seguridad de agentes y el control de sus costos como perfiles emergentes de su ciclo de expectativas, y advirtió que aplicar una gobernanza uniforme a todos los agentes por igual va a fallar, porque cada uno tiene un nivel distinto de autonomía, acceso y riesgo operativo.

La preocupación es legítima. Un agente mal gobernado puede provocar pérdidas financieras o de reputación, interrumpir un servicio o filtrar datos. Nada de eso es menor. El punto es otro: toda esa atención se concentra en el agente como actor, y deja de lado al actor que sigue siendo el objetivo número uno de los atacantes, que es la persona.

Riesgo del agente frente a riesgo humano: dos problemas distintos que conviene no mezclar

El riesgo del agente y el riesgo humano se parecen lo justo para que se confundan, y se diferencian en lo que importa. El riesgo del agente es el de un sistema autónomo que actúa con permisos: la pregunta es qué puede hacer, qué tan acotado está y cómo se audita. El riesgo humano es el de una persona que decide bajo presión, muchas veces engañada a propósito: la pregunta es si reconoce el pretexto y resiste, o si entrega sus credenciales sin notarlo.

El marco 90-5-5 de Cisco, que estima que cerca del 90 por ciento de las brechas de seguridad involucran un factor humano, sigue describiendo de dónde viene la mayoría del daño (fuente: Cisco). Que ahora haya agentes en la ecuación no cambia ese reparto; agrega una superficie nueva sin retirar la vieja. De hecho la complica, porque un atacante que engaña a una persona puede terminar manipulando, a través de ella, al agente que esa persona supervisa. El eslabón que se quiebra primero sigue siendo humano, y por eso preferimos hablar de factor humano y no de error humano: la persona es el objetivo del ataque, no la culpable de él.

Por qué automatizar el ataque no demuestra resiliencia de la persona

Generar ataques más sofisticados con IA, o lanzarlos a mayor escala, no demuestra que las personas sepan resistirlos. Es una confusión cómoda: si la herramienta puede fabricar un correo de phishing perfecto o un pretexto de fraude del correo corporativo (BEC, por sus siglas en inglés, el fraude en el que alguien suplanta a un ejecutivo o proveedor para desviar un pago) muy convincente, parece que ya estamos midiendo el riesgo. Pero fabricar el ataque y validar la respuesta de la persona son pasos diferentes. El primero produce munición; el segundo produce evidencia de comportamiento.

La evidencia de comportamiento solo aparece cuando se vuelve a probar a la persona. Completar una capacitación no predice por sí solo que alguien dejará de caer en un engaño real, y lo mismo vale para haber sobrevivido a una simulación una vez: pudo aprenderse el correo de memoria sin haber cambiado nada de fondo. Validar el cambio de conducta significa volver a poner a la persona frente a una situación equivalente, semanas después, con otro contexto, y observar si esta vez reconoce la señal. Eso es lo que un ataque automatizado, por sí solo, no entrega. Sobre por qué la capacitación tradicional no basta escribimos antes en [por qué tu programa de capacitación no funciona](/blog/por-que-capacitacion-no-funciona).

La gestión de riesgo humano (HRM) valida el cambio de conducta, no la autonomía del agente

La gestión de riesgo humano (Human Risk Management, HRM, la categoría que se ocupa de medir y reducir el riesgo que aportan las personas) responde una pregunta que la gobernanza de agentes no toca: cambió de verdad el comportamiento de la persona. No mide si el empleado sabe la teoría ni si el agente está bien acotado. Mide cómo actúa la persona cuando la presionan con un engaño realista, y si ese comportamiento mejora con el tiempo.

La pieza central de ese enfoque es volver a probar, lo que en inglés se conoce como retest: después de que alguien falla y recibe una corrección breve, se le envía más adelante otra prueba del mismo tipo pero distinta, para confirmar que aprendió la lección y no solo memorizó un correo. Es un concepto neutral, no una función de marca: cualquier programa serio de riesgo humano debería poder demostrar que la conducta cambió, no solo que el curso se completó. Mientras el mercado discute cómo poner barandas a los agentes, esta pregunta sobre las personas sigue, en la mayoría de las organizaciones, sin respuesta verificable. Lo desarrollamos en [riesgo humano, la nueva frontera de la ciberseguridad](/blog/riesgo-humano-la-nueva-frontera-de-la-ciberseguridad).

Qué debe seguir midiendo un CISO mientras el ruido va hacia los agentes

Un responsable de seguridad puede gobernar a sus agentes y, a la vez, no perder de vista a sus personas; las dos cosas no compiten por el mismo presupuesto de atención si se las separa con claridad. La trampa es dejar que la novedad de los agentes absorba toda la conversación de riesgo, porque el factor humano no se fue a ninguna parte: sigue siendo por donde entra la mayoría de los ataques.

En la práctica, eso significa seguir midiendo lo de siempre con más disciplina, no menos. Cuántas credenciales de la empresa están expuestas y cuánto tarda en reaccionar el equipo cuando aparece una. Qué tan vulnerable es cada persona ante un pretexto dirigido a su rol, medido con simulaciones realistas y no con un examen que el empleado sabe que está dando. Y, sobre todo, si esa vulnerabilidad baja con el tiempo, validada volviendo a probar, que es la única señal que de verdad indica que el comportamiento cambió. Esas preguntas no las contesta ningún panel de gobernanza de agentes, y son las que sostienen el puntaje de riesgo real de una organización.

En esta línea trabaja Fensivo: una plataforma de gestión de riesgo humano construida para LATAM que detecta credenciales expuestas, prueba a cada persona con simulaciones personalizadas y valida el cambio de conducta volviendo a probar semanas después, no dando por buena la sola completación de un curso. Es el caso de uso que abordamos cuando el riesgo está en las personas y no solo en la tecnología, y que puedes revisar en nuestros casos de uso.

Mientras tu organización se prepara para gobernar a sus agentes de IA, ¿con qué evidencia podrías demostrar hoy que tus personas resisten mejor un engaño que hace tres meses?

Fuentes y referencias

• Cisco, "The 90-5-5 Concept: Your Key to Solving Human Risk in Cybersecurity", 27 de mayo de 2025. blogs.cisco.com