Estamos siendo testigos del fin de la era del "humano en el bucle" y del comienzo de la economía "agente a agente". Hasta hace poco, la mayoría de las interacciones con la IA seguían modelos centralizados donde un usuario humano enviaba una instrucción a un modelo central, revisaba el resultado y luego tomaba medidas. Ese modelo proporcionaba un freno de seguridad natural. Si la IA alucinaba o sugería una acción maliciosa, había un humano para detectarlo.
Ese freno de seguridad está desapareciendo.
Con el auge del protocolo Agente a Agente (A2A) y el Protocolo de Contexto de Modelo (MCP), las organizaciones están construyendo cadenas de suministro de lógica autónomas. En esta nueva arquitectura, un agente de atención al cliente podría revisar un ticket y transferirlo inmediatamente a un agente de facturación, quien luego negocia con un agente de base de datos para procesar un reembolso. Toda esta cadena ocurre en milisegundos, a menudo sin que ningún ojo humano verifique la lógica.
Este cambio crea una superficie de ataque masiva y nueva que es invisible para las herramientas de seguridad tradicionales.
¿Busca una solución? Descargue La guía de compra de seguridad para agentes
El riesgo de las alucinaciones en cascada
La amenaza más peligrosa en un entorno A2A no es necesariamente un hacker externo, sino un fallo lógico en cascada. En un mundo impulsado por humanos, un intento de phishing se detiene si el usuario se da cuenta de que algo anda mal. En un mundo A2A, la credulidad está programada.
Si un atacante logra utilizar una inyección de instrucciones (prompt injection) en el agente de atención al cliente inicial, no solo está engañando a un chatbot. Está engañando efectivamente a toda la cadena posterior. El agente comprometido transmite un contexto malicioso al agente de facturación, el cual trata la solicitud como una instrucción verificada de un par interno de confianza. Debido a que estos agentes se comunican a través de API utilizando cuentas de servicio con altos privilegios, la solicitud maliciosa elude los controles de autenticación estándar que normalmente cuestionarían a un usuario humano.
A esto lo llamamos explotación en cadena. Una sola debilidad en el borde de la red permite a un atacante manipular sistemas backend profundos haciendo que los agentes se comuniquen entre sí.
Por qué el punto ciego del tráfico "este-oeste" es fatal
La mayoría de los equipos de seguridad centran sus esfuerzos en el tráfico norte-sur, protegiendo eficazmente la puerta de entrada. Asumen que, una vez que una solicitud está dentro del perímetro, es relativamente segura. La comunicación A2A desafía esta suposición, ya que es casi exclusivamente tráfico este-oeste.
Cuando el Agente A llama al Agente B, el tráfico permanece dentro del entorno en la nube o la red interna. Utiliza API internas, a menudo puntos finales de API no documentados o "en la sombra", para mover datos. Los WAF y las puertas de enlace de API tradicionales suelen desplegarse en el borde, lo que significa que nunca ven esta conversación interna. Están completamente ciegos ante las negociaciones de alta velocidad y alto riesgo que ocurren entre sus propios servidores.
La adopción generalizada de protocolos como MCP y A2A conducirá inevitablemente a más API y a un mayor uso de las mismas, no a menos. Esta explosión de tráfico interno es el escondite perfecto para los atacantes. Pueden aprovechar los recursos existentes, utilizando sus propios agentes para moverse lateralmente a través de su red mientras su panel de seguridad muestra que todos los sistemas están en verde.
Asegurando la red autónoma
Para ser claros, no se puede proteger lo que no se puede ver. Visibilidad y gobernanza siguen siendo los pilares de la seguridad; debe inventariar sus agentes y limitar estrictamente sus privilegios. Sin embargo, en el mundo de latencia de milisegundos de la comunicación A2A, estos controles son insuficientes por sí solos. Incluso un agente totalmente gobernado con una identidad conocida puede ser engañado para realizar comportamientos maliciosos por parte de un par comprometido. Aquí es donde la estrategia debe pasar de una postura estática a una defensa dinámica.
Asegurar este nuevo panorama requiere un cambio fundamental en la estrategia. No puede depender de reglas estáticas o de la detección basada en firmas, porque el vector de ataque no es un archivo de malware conocido. El vector de ataque es una lógica de negocio válida ejecutada de forma incorrecta.
Los equipos de seguridad deben implementar una protección en tiempo de ejecución que comprenda la intención. Ya no basta con saber que el Agente A llamó al Agente B. Necesita saber si esa llamada se alinea con la línea base histórica de comportamiento de esas dos identidades. ¿El Agente de Facturación solicita normalmente un volcado completo de la tabla al Agente de Base de Datos a las 3 a. m.? Si no es así, no importa si las credenciales son válidas. El comportamiento es malicioso.
El enfoque de Salt Security
Es por esto que Salt Security se centra tanto en la Capa de Acción de IA Agéntica. Nos desplegamos profundamente dentro del tejido de API para observar estas comunicaciones internas. Mediante el uso de big data y análisis de comportamiento, establecemos una línea base de lo "normal" para cada agente en su ecosistema. Cuando un flujo de trabajo A2A se desvía de ese patrón, ya sea debido a una alucinación o a un ciberataque, podemos detectar y bloquear la llamada de API específica involucrada.
El futuro de la IA es autónomo, pero eso no significa que deba estar sin gobierno. Al tratar cada interacción de Agente a Agente como un evento de seguridad crítico, las organizaciones pueden aprovechar la velocidad de los protocolos A2A sin renunciar al control de su sistema nervioso digital.
Si desea obtener más información sobre Salt y cómo podemos ayudarle, por favor contáctenos, programe una demostración, o visite nuestro sitio web. También puede obtener una evaluación gratuita de la superficie de ataque de su API del equipo de investigación de Salt Security y descubrir lo que los atacantes ya saben.