Un analista le pide a un asistente la utilización por proyecto del trimestre anterior. No existe una API para esa vista. El agente abre un navegador, inicia sesión en la herramienta de servicios profesionales usando una sesión que el analista autorizó hace semanas, recorre tres pantallas, aplica filtros, exporta un CSV y devuelve un resumen limpio en noventa segundos. Funciona. Nadie en TI se entera.
El registro de auditoría de esa herramienta anota a un usuario humano, desde la dirección IP de un humano, haciendo algo que un humano haría de manera plausible. La puerta de enlace de API, donde el equipo de seguridad puso los límites de tasa, la validación de esquemas y el registro, nunca fue tocada, porque el agente entró por la puerta principal como todo el mundo. Esto es la navegación agéntica, y está llegando a la mayoría de las organizaciones igual que llegó el SaaS en la sombra: de forma útil, silenciosa y desde el negocio en lugar de desde TI.
El impulso de bloquearla es comprensible y casi siempre inútil. Conviene más reconocer qué es lo verdaderamente nuevo. Un agente que maneja un navegador es un actor no humano que opera con credenciales humanas a velocidad de máquina, y todos los controles de acceso de una organización asumen que el actor es una cosa o la otra. Este artículo cubre qué se rompe, cómo distinguir el tráfico de agentes del tráfico humano en ambos sentidos, y qué controles concretos implantar antes de permitir la navegación agéntica y no después de descubrirla.
Porque la restricción real es la cobertura. La mayoría del software empresarial expone una fracción de su funcionalidad mediante una API documentada, y las partes que un agente más necesita suelen estar en la fracción que falta.
Piense en lo que toca un flujo de operaciones cualquiera: una vista de reporte filtrada que solo existe en la interfaz, una aprobación de varios pasos armada como un flujo guiado paso a paso, el portal de un proveedor sin hoja de ruta de integración, una aplicación interna heredada cuya API nunca se terminó. Una persona resuelve las cuatro sin pensarlo. Un agente que solo habla API no resuelve ninguna sin un proyecto de integración por sistema, cooperación del proveedor y una negociación de credenciales. Un agente que maneja un navegador resuelve las cuatro hoy, sin trabajo de ingeniería y sin involucrar al proveedor.
Las herramientas se movieron hacia esa realidad. Cloudflare lanzó Kitesurf en agosto de 2026, un navegador diseñado para agentes y no para personas, sin la maquinaria de renderizado e interacción pensada para humanos. Todas las plataformas de asistentes ofrecen ya alguna forma de uso de computadora o control del navegador. Al mismo tiempo, Gartner prevé que el 40 por ciento de las aplicaciones empresariales contará con agentes de IA de tarea específica para 2026, frente a menos del 5 por ciento en 2025, lo que significa que buena parte de esta capacidad llegará dentro de software que usted ya compró.
Para TI la consecuencia es estructural, no filosófica. Años de inversión fueron a la capa de API como punto de control del tráfico de máquinas: la puerta de enlace, las cuentas de servicio, los límites de tasa, la validación de esquemas, los registros de solicitudes. Los agentes que operan por navegador esquivan todo eso. El punto de control se movió y los controles no lo siguieron.
Fallan cuatro controles a la vez, y cada falla es lo bastante silenciosa como para que nada se alerte.
La atribución. Cada acción del agente queda escrita en el registro de auditoría a nombre del empleado. Seis meses después, durante una revisión de accesos o la investigación de un incidente, ningún proceso puede separar lo que la persona decidió de lo que el software hizo en su nombre. Esa distinción es la base entera de la rendición de cuentas en un control SOX, en una consulta sobre datos de clientes o en un asunto disciplinario.
El mínimo privilegio. El agente hereda todos los permisos de un rol dimensionado para una persona que ejerce criterio. La cuenta de un contralor puede registrar asientos, aprobar pagos bajo cierto umbral y exportar datos de clientes. Esos permisos se calibraron para alguien que entiende las consecuencias y trabaja a velocidad humana. Entregar el mismo conjunto a software sin supervisión es un error de categoría, y es el resultado por defecto de compartir sesiones.
El ciclo de vida de identidades. La gestión de altas, cambios y bajas asume que una cuenta corresponde a una persona. Cuando ese empleado cambia de rol, los permisos efectivos del agente cambian en silencio con él. Cuando se va, la baja mata sin ruido un flujo en producción del que depende finanzas, y el primer síntoma es una tarea de cierre incumplida, no un error limpio.
La garantía de sesión. Para que un agente opere sin supervisión, algo tiene que mantener viva una sesión durante días. Eso implica cookies de larga duración, reautenticación suprimida y factores adicionales evitados o presatisfechos. Esas verificaciones adicionales son el control. Rodearlas para que el agente funcione elimina la garantía de autenticación más fuerte de la pila, a cambio de comodidad, sin que la decisión quede registrada en ningún lado.
No se trata de una hipótesis. El informe State of AI Agent Security 2026 de Gravitee, una encuesta de proveedor a más de 900 ejecutivos y profesionales publicada en febrero, encontró que el 45.6 por ciento de los equipos sigue usando claves de API compartidas para la autenticación entre agentes, y que solo el 21.9 por ciento trata a los agentes como entidades independientes con identidad propia. El mercado está respondiendo: el 30 de julio de 2026 Okta firmó un acuerdo definitivo para adquirir Permiso Security, que detecta amenazas en identidades humanas, no humanas y agénticas. No se revelaron los términos, aunque TechCrunch reportó un precio de poco menos de 200 millones de dólares, citando a una fuente cercana a la operación. Los proveedores de identidad construyen para esto porque la brecha es real y sigue creciendo. La disciplina relacionada se cubre en nuestro trabajo sobre identidad y acceso de agentes de IA y sobre delegación de credenciales a agentes de IA.
Un agente que opera por navegador evita la puerta de enlace de API donde viven los controles del tráfico de máquinas, y usar la sesión de una persona destruye de un golpe la atribución, el mínimo privilegio, la gestión del ciclo de vida y la garantía de autenticación multifactor. Dé a cada agente su propia identidad de directorio con un responsable nombrado, acote sus permisos a la tarea en lugar de copiar un rol humano, separe lectura de escritura con una compuerta de aprobación y trate el contenido de las páginas como entrada no confiable.
Se instrumenta a propósito, porque ninguna de las señales habituales sobrevive al contacto con un agente competente. Presenta una huella de navegador real, ejecuta JavaScript y recorre las páginas en una secuencia plausible. Las heurísticas de comportamiento atrapan scripts torpes, no esto.
Dos cosas hacen identificable al tráfico de agentes, y ambas requieren una decisión y no un producto de detección. La primera es la identidad: si el agente se autentica como sí mismo, con su propia cuenta o una identidad de carga de trabajo, la pregunta queda resuelta en todos los registros posteriores. La segunda es una marca declarada, es decir un identificador de agente de usuario distinto, un encabezado firmado o una ruta de salida reservada para cargas de agentes. La identidad de agente firmada criptográficamente en las solicitudes HTTP es la dirección hacia la que apunta el trabajo de estandarización y vale la pena seguirla, pero una marca emitida internamente más un rango de IP de salida dedicado funciona hoy y cuesta una semana.
La razón para preocuparse es operativa, no académica. Una vez que el tráfico de agentes es distinguible, las herramientas de siempre vuelven a funcionar. Los límites de tasa pueden diferir por tipo de actor. La detección de anomalías deja de marcar el patrón normal de un agente como una cuenta humana comprometida. La planificación de capacidad se vuelve posible. Y sobre todo, la línea de tiempo de un incidente se puede reconstruir, que es la diferencia entre una investigación de dos horas y una de dos semanas.
La misma pregunta corre en sentido contrario, y casi nadie se la ha hecho. Ahora mismo llegan agentes a sus propiedades web públicas, leen sus precios, llenan sus formularios y consumen su documentación. Parte de ese tráfico es bienvenido, ya que ser legible para los sistemas de IA es hoy parte de ser encontrable. Parte no lo es. La distinción que conviene sostener es entre leer y actuar: un agente que lee documentación publicada es un visitante, mientras que un agente que envía un formulario, crea una cuenta o inicia una transacción ejecuta una acción que merece los mismos controles de identidad y de tasa que cualquier otro cliente de máquina. El bloqueo indiscriminado es el criterio equivocado en 2026 y cuesta visibilidad. El acceso de escritura sin medición es peor.
Clasifique cada acción en tres niveles y haga cumplir los límites en el entorno y no en el prompt, porque un prompt es una guía y un entorno es un control.
Leer y recuperar. Extraer un reporte, consultar un estado, reunir contexto, exportar datos a los que el solicitante ya tiene derecho. Este nivel puede operar sin supervisión una vez que la identidad y el alcance son correctos, y ahí está casi todo el valor inicial. La mayoría de las organizaciones debería detenerse aquí durante el primer trimestre.
Preparar sin confirmar. El agente redacta el asiento contable, deja lista la orden de compra, arma la respuesta al cliente, llena el ticket, y luego se detiene y presenta el resultado para aprobación. Este nivel produce ahorros de tiempo reales manteniendo a una persona responsable del compromiso, y es el criterio correcto para todo lo que toque dinero, clientes o el registro del negocio. La aprobación debe ser significativa, es decir que el revisor vea qué cambió y en qué se basó, no un cuadro de confirmación vacío que enseña a la gente a hacer clic.
Confirmar de forma autónoma. El agente completa la acción. Este nivel debe ganarse, un flujo a la vez, con un umbral de valor definido, una ruta de reversión y monitoreo funcionando antes de la primera ejecución autónoma. Nunca debería ser la configuración inicial de un agente.
Se repiten dos errores. El primero es tratar la frase "el agente solo tiene acceso de lectura" como una respuesta completa, cuando un agente de solo lectura capaz de exportar la tabla completa de clientes representa una exposición de datos relevante aunque no haya cambiado nada. El segundo es definir el límite en el prompt del sistema. Una instrucción de no enviar formularios es una preferencia. Una credencial que no puede enviar formularios es un control. Cuando la interfaz no ofrece esa granularidad, el límite pertenece a una puerta de enlace o plano de control de IA que se sitúa delante del destino y lo hace cumplir en el tráfico.
Porque lee contenido que escribieron otras personas, y el contenido que lee se convierte en entrada que influye en lo que hace después. Ese es todo el ataque. La página de un portal de proveedores, un ticket de soporte enviado por un cliente, un PDF en una unidad compartida o un resultado de búsqueda pueden llevar instrucciones dirigidas al agente y no a la persona.
La gravedad escala con la capacidad. Un agente que solo lee y resume produce un resumen equivocado, lo cual es malo. Un agente que lee una página, recibe de esa página la instrucción de abrir otro sistema interno y exportar un registro, y que tiene credenciales para ambos, produce una vía de exfiltración que ningún control perimetral ve, porque cada solicitud está autenticada y se origina desde dentro. Por eso los niveles de lectura y de acción deben separarse con algo más que una intención, y por eso la lista de destinos permitidos de un agente importa tanto como sus permisos. Las defensas se tratan a fondo en nuestro artículo sobre defensa frente a la inyección indirecta de instrucciones. La versión corta para la navegación: limite a dónde puede ir el agente, neutralice el contenido con forma de instrucción en las páginas recuperadas, nunca permita que el contenido no confiable amplíe el conjunto de herramientas o destinos del agente, y exija aprobación humana para cualquier acción entre sistemas iniciada por el contenido y no por el usuario.
Siete, y ninguno es exótico. Son controles de TI ordinarios aplicados a un nuevo tipo de usuario, y por eso la mayoría de los equipos puede implantarlos en semanas y no en trimestres.
Una nota práctica de secuencia: primero viene el descubrimiento. La mayoría de las organizaciones ya tiene agentes navegando, autorizados por empleados individuales dentro de herramientas que el negocio compró directamente. Haga el inventario antes de escribir la política, porque una política escrita contra una huella imaginada la ignoran justamente quienes ya están haciendo el trabajo. El método es el mismo que describimos para descubrir e inventariar agentes de IA en la sombra: parta de los registros de salida, las consolas de administración de SaaS y los datos de gasto, no de una encuesta.
La navegación agéntica no es una tendencia por evaluar. Es una capacidad ya presente en software que su organización licenció y en los asistentes que usan sus empleados, y su curva de adopción la fijan los equipos de negocio y no TI. Las organizaciones que lo manejen bien no serán las que la bloquearon más tiempo. Serán las que hicieron de la identidad de agente un objeto de primera clase desde temprano, mantuvieron la vía de escritura con compuerta mientras la de lectura corría libre, y podían responder, un martes cualquiera, qué agentes estaban operando, en nombre de quién, contra qué y con cuánta autoridad.
Esa es una pregunta de gobernanza con una respuesta de ingeniería, y la ingeniería es abordable. El trabajo consiste en diseño de identidades, acotamiento de permisos, control de salida e instrumentación, todo sobre herramientas que la mayoría de las organizaciones ya posee. Los equipos que despliegan agentes de IA a medida deberían diseñar la identidad y el límite junto con el agente y no después de la primera sorpresa, porque adaptar un modelo de acceso a un agente que ya funciona suele significar rehacer cómo se autentica. El conjunto de controles más amplio se cubre en nuestra página de Seguridad de IA y en nuestra lista de verificación de gobernanza de agentes de IA.
Nuestra práctica de consultoría hace este trabajo de forma presencial en Texas y Oklahoma, en cada una de nuestras áreas de servicio, y en remoto para clientes en todo el país. Infonaligy es una firma de consultoría de IA y servicios de TI con sede en Dallas–Fort Worth, que trabaja con organizaciones que necesitan que sus agentes de IA operen dentro de la misma disciplina de acceso que todo lo demás en el entorno. Para conversar sobre el diseño de accesos de agentes en un flujo específico, escriba a hello@infonaligy.com o llame al 800-985-1365.
Infonaligy trabaja con organizaciones de todo el área metropolitana de Dallas–Fort Worth, Texas y Oklahoma de forma presencial, con entrega remota en todo el país.
Los proyectos comienzan con el descubrimiento: qué agentes ya navegan por sus sistemas, en nombre de quién y contra qué. A partir de ahí diseñamos identidades de agente en su directorio, acotamos permisos a la tarea, definimos la lista de destinos permitidos y la ruta de salida, y colocamos una compuerta de aprobación entre lectura y escritura. Usted recibe un inventario de agentes, un modelo de acceso documentado, controles funcionando y registros que distinguen el tráfico humano del tráfico de agentes. Independiente de proveedores, y sobre la pila de identidad que ya tiene.
Infonaligy