La OWASP todavía no tiene un "Top 10 de IA Agéntica" numerado como el clásico Top 10 de aplicaciones web. Lo que existe es un trabajo en curso del GenAI Security Project que mapea amenazas específicas de agentes autónomos, sistemas que planifican, usan herramientas y actúan sin que un humano apruebe cada paso. En la práctica, ese mapeo ya converge en un conjunto reconocible de riesgos, los mismos que los equipos de seguridad encuentran cuando empiezan a probar agentes reales en producción.
Reunimos los 10 que más aparecen.
Los riesgos
- Secuestro de objetivo. Una instrucción maliciosa (vía un prompt, un documento o el output de otra herramienta) redirige lo que el agente intenta lograr, sin que el agente note el cambio de rumbo.
- Exceso de autonomía. El agente recibe más permisos de los que la tarea requiere "para que no falle después", y ese margen se convierte en superficie de ataque cuando actúa fuera de lo esperado.
- Uso indebido de herramientas. El agente encadena llamadas a herramientas de formas que nadie probó, combinando acciones individualmente seguras en una secuencia peligrosa.
- Envenenamiento de memoria y contexto. Un dato malicioso persistido en la memoria de largo plazo del agente contamina decisiones futuras, mucho después de la interacción original.
- Suplantación de identidad. Un componente o agente falso se hace pasar por un agente confiable dentro de un flujo multiagente.
- Agente deshonesto en un sistema multiagente. Un solo agente comprometido en una cadena influye en las decisiones de los demás, propagando el problema.
- Manipulación del humano en el loop. El agente construye una justificación lo bastante convincente como para que un humano apruebe una acción que no debería aprobar.
- Alucinación en cascada. El error de un agente se convierte en input "confiable" para el siguiente paso de la cadena, amplificando el daño en cada etapa.
- Agotamiento de recursos. Loops o llamadas descontroladas tumban servicios, disparan el costo de API o saturan los límites de tasa.
- Falta de trazabilidad. Cuando algo sale mal, no hay rastro suficiente para reconstruir por qué el agente tomó esa decisión.
La mitad de estos riesgos no son nuevos, es el mismo problema de siempre: exceso de permisos y falta de auditoría. Lo nuevo es la velocidad: un agente encuentra el camino equivocado mucho más rápido de lo que lo encontraría un humano.
Por dónde empezar
No se pueden mitigar los 10 a la vez, y intentarlo suele significar no mitigar ninguno bien. El punto de partida suele ser mapear qué agentes existen hoy, qué herramientas y endpoints puede tocar cada uno, y probar esa superficie con el mismo rigor con el que probarías una API expuesta a usuarios externos, porque en la práctica es exactamente eso.
Estos riesgos no viven solo en la capa del modelo. Se manifiestan en las APIs que el agente llama, así que la defensa también tiene que estar ahí: entender la superficie real, priorizar por impacto de negocio y comprobar que la corrección funciona antes de que un agente autónomo encuentre el camino que nadie probó.