Respuesta directa: Un agente de IA con acceso a tu correo, tus archivos o tu pasarela de pago es, a efectos prácticos, un empleado digital con tus llaves — y su ataque característico, la inyección de prompts, sigue siendo en 2026 el riesgo número uno según OWASP y, como reconoció uno de sus investigadores este año, no se arregla con parches: es un problema de arquitectura. La buena noticia: la defensa está en tus manos y no exige ser ingeniero — se llama mínimo privilegio, compuertas humanas para lo irreversible, contenido externo en cuarentena y registro de todo lo que hace. Aquí tienes el porqué en llano y las 7 reglas antes de darle las llaves a ningún agente.
📅 Última actualización: 17 de julio de 2026 · Guía de defensa para usuarios y pymes: aquí no encontrarás técnicas de ataque, sino cómo protegerte de ellas.
Qué puede salir mal, explicado sin humo
La inyección de prompts consiste en colar instrucciones maliciosas dentro del contenido que el agente va a procesar. La variante directa llega desde quien escribe al agente; la delicada es la indirecta: el agente lee una página web, un correo, un PDF o un ticket — y dentro de ese contenido alguien ha escondido una orden. Como el modelo no distingue por defecto entre «datos que debo analizar» e «instrucciones que debo obedecer», puede acabar ejecutando la orden del atacante. Y aquí está la clave que lo cambia todo: el daño no lo decide el ataque, lo deciden los permisos. Un agente que solo resume texto y sufre una inyección produce un mal resumen; uno con acceso a tu banca, tu CRM o tu servidor produce un incidente.
Dos agravantes más, documentados este año: los agentes heredan tus permisos «a velocidad de máquina» — si en tu empresa cualquiera puede ver carpetas que no le tocan, el agente también, pero mil veces más rápido —, y las listas de «acciones seguras» mal diseñadas pueden volverse en contra: un caso registrado en 2026 en un asistente de programación mostró cómo una lista de comandos auto-aprobados terminó facilitando justo lo que el atacante necesitaba. Moraleja: la confianza automática es el fallo, no la solución.
Las 7 reglas antes de dar las llaves
- Mínimo privilegio, siempre. Cada agente, solo las herramientas de su tarea — y en modo lectura antes que escritura. Si su trabajo es resumir facturas, no necesita poder pagarlas.
- Compuerta humana para lo irreversible. Pagos, borrados, envíos masivos, cambios de permisos: aprobación manual tuya, sin excepciones. La automatización total se gana con historial, no se regala el primer día.
- Jamás tu contraseña maestra ni tus códigos 2FA. Al agente se le dan cuentas o tokens dedicados, con alcance limitado y — esto es lo importante — revocables en un clic. Matar el token debe equivaler a apagar al agente.
- Contenido externo = contenido no confiable. Cuando el agente navega, lee correo ajeno o procesa documentos de fuera, recórtale las herramientas en ese modo: que pueda leer mucho y tocar poco. Es la mitigación estrella contra la inyección indirecta.
- Ponle límites medibles: tope de gasto, límite de acciones por hora, lista de dominios permitidos. Los patrones raros se frenan solos cuando hay techo.
- Registro de acciones y revisión periódica. No necesitas saber qué «pensó»: necesitas saber qué hizo — qué llamó, con qué datos, con qué resultado. Sin registro no hay incidente pequeño, solo incidentes descubiertos tarde.
- Empieza en pequeño y ensaya el apagado. Prueba el flujo con datos de mentira, dale una semana de rodaje supervisado, y ten escrito el plan de revocación antes del primer día real. Si no sabes cómo pararlo en 60 segundos, no está listo.
La cara legal: «lo hizo la IA» no es defensa
El marco europeo apunta en la misma dirección que estas reglas: quien despliega el agente responde por él, con obligaciones de supervisión humana, gestión de riesgos y trazabilidad — y desde el 2 de agosto de 2026 se suman la transparencia obligatoria y el régimen sancionador general que ya desgranamos en nuestra guía de qué cambia de verdad con el AI Act. Ante un incidente, lo que te salvará no es alegar que fue el modelo: será demostrar qué controles había, qué quedó registrado y cómo se supervisaba. Exactamente los puntos 1 a 7.
Preguntas frecuentes
¿Un modelo «más seguro» no me resuelve esto?
Las salvaguardas de los proveedores han mejorado y son una capa real de defensa — pero son eso, una capa. La arquitectura de permisos, compuertas y límites la pones tú, y es la que decide el tamaño del daño posible. Los propios laboratorios que publican guías de diseño resistente lo dicen así.
¿Los agentes de navegador son más peligrosos?
Son el modo más expuesto: leen constantemente contenido externo — el terreno natural de la inyección indirecta. Con ellos, la regla 4 es sagrada: permisos mínimos, supervisión de acciones sensibles y nada de sesiones con tus cuentas principales.
¿Y en casa, para uso personal?
Mismas reglas a escala doméstica: correo secundario en vez del principal, método de pago con límite en vez de tu tarjeta habitual, y revisión de lo que hizo. La comodidad de hoy no debe costar la cuenta de mañana.
Uso automatizaciones tipo n8n con IA, ¿aplica igual?
Con más razón: credenciales separadas por flujo, alcance mínimo por conexión y registro activado. Tienes el detalle práctico en nuestro tutorial de n8n, y el mapa de por dónde entran las conexiones en la guía del protocolo MCP. Y si estás eligiendo agente, relee nuestro top de agentes gratuitos con estas gafas puestas: la pregunta ya no es solo qué hace, sino qué permisos pide.
Fuentes
OWASP — Top 10 para aplicaciones LLM (inyección de prompts como riesgo nº 1) y Top 10 para aplicaciones agénticas (2026), con las advertencias de sus investigadores en Infosecurity Europe 2026 sobre el carácter arquitectónico del problema · Caso documentado en 2026 de listas de auto-aprobación explotadas en un asistente de programación · Guías de diseño de agentes resistentes a inyección publicadas por los proveedores y prácticas de identidad con mínimo privilegio · NIST AI Risk Management Framework · Reglamento (UE) 2024/1689 (supervisión humana, trazabilidad y aplicación general desde el 2-8-2026). Verificado el 17 de julio de 2026.
