Agentes de IA: cuando el autofix se vuelve puerta trasera

El robot encontró un problema en el código, sugirió la corrección, alguien hizo clic en "aceptar" y la corrección abrió un agujero más grande que el problema original. No es una hipótesis. Le pasó a Snowflake, una empresa de datos que vale miles de millones y tiene un equipo de seguridad de verdad. Investigadores de Wiz mostraron que una sugerencia automática de corrección generada por IA, aceptada dentro del flujo de automatización de la empresa, se convirtió en el camino para llegar al Jira interno. Ese es el punto ciego de los agentes de IA que casi nadie está mirando: auditamos lo que la IA escribe desde cero, pero confiamos ciegamente en lo que ella "arregla".

Si eres dueño de un negocio y crees que esto es charla de programadores, aguanta un poco. Jira es donde la empresa guarda lo que está roto, lo que se va a lanzar, quién se quejó de qué. Es la bitácora de la operación. Alguien de afuera leyendo eso sabe más de tu negocio que la mitad de tu equipo.

Qué pasó exactamente

Resumen en idioma de gente normal. Existe un recurso en GitHub, llamado autofix, que usa IA para leer una alerta de seguridad y proponer el parche. Idea excelente en el papel: la máquina encuentra, la máquina arregla, tú apruebas. El problema es lo que pasa después del "apruebo".

En este caso, la corrección generada por la IA se incorporó al flujo automático que corre cada vez que alguien toca el código. Ese flujo tenía permisos amplios y acceso a credenciales que daban entrada a otros sistemas. Un investigador logró manipular el proceso y, al final de la línea, llegar al Jira de la empresa.

Fíjate en la secuencia, porque ella es el corazón de la historia:

• La IA generó código.
• El código pasó por una revisión que era, en la práctica, un sello.
• Ese código corrió dentro de un entorno con llaves poderosas.
• Nadie preguntó "y si esta corrección está equivocada, ¿hasta dónde llega?".

Cada paso aislado parece razonable. Juntos, se vuelven un problema. Y eso que Snowflake hizo bien la parte difícil: recibió el reporte, corrigió rápido, publicó. La mayoría de las empresas ni se enteraría.

Por qué "corregir" es más peligroso que "crear"

Cuando le pides a la IA que escriba una funcionalidad nueva, tu cerebro enciende el modo desconfiado. Lees, pruebas, cuestionas. Cuando corrige un bug que ella misma señaló, pasa algo curioso: la alerta viene con apariencia de autoridad. "Vulnerabilidad encontrada. Corrección sugerida." Parece antivirus. Aceptas.

Solo que el modelo no entiende tu negocio. Entiende patrones de código. Vio diez mil correcciones parecidas y produjo la diez mil una. No tiene idea de si ese archivo específico corre con permiso de administrador o si ese token da acceso a la base de clientes.

La IA no se equivoca por tonta. Se equivoca por no saber dónde está pisando.

En 2025 y 2026 esto empeoró por una razón simple: aumentó brutalmente el volumen. Un equipo que revisaba veinte cambios por semana ahora recibe doscientos. La calidad promedio hasta subió. La atención humana por cambio se desplomó. Esa es la cuenta que nadie hizo.

Qué tiene que ver esto con tu empresa

Probablemente no tienes CI/CD con diez mil ejecuciones por día. Pero si usas agentes de IA en cualquier lugar de tu negocio, el patrón es idéntico. Algunos casos que veo en la práctica:

Agente que responde clientes. Conectaste el bot al sistema de pedidos para que consulte el estado. Excelente. ¿Con qué permiso consulta? Si puede leer el pedido de cualquier documento de identidad, un cliente astuto lo descubre en veinte minutos de conversación.

Automatización que toca una planilla o el ERP. El agente tiene acceso de escritura "para facilitar". Un día interpreta mal un pedido y borra una columna. No hay ninguna malicia, es solo un error. Pero el daño es real.

Integración con el correo. El agente lee la bandeja de entrada para clasificar mensajes. Cualquier persona en el mundo puede mandarte un correo. O sea: cualquier persona en el mundo logra poner texto dentro de tu agente. Si tiene permiso de responder y enviar adjuntos, acabas de darle un megáfono a un desconocido.

El denominador común no es la IA. Es el permiso. La IA solo amplió la velocidad con la que un permiso mal configurado se vuelve problema.

Tres preguntas antes de encender cualquier agente

Esto no es una checklist de seguridad corporativa. Es lo mínimo que hago en cualquier automatización que entrego, y toma quince minutos.

1. Si este agente se vuelve loco, ¿cuál es el peor daño posible? Escribe la respuesta. Literalmente. Si la respuesta es "manda un correo equivocado", tranquilo. Si es "borra la base de clientes" o "transfiere dinero", necesitas un freno antes de seguir.

2. ¿De verdad necesita escribir, o solo leer? Noventa por ciento de los agentes que veo en pequeñas y medianas empresas solo necesitan lectura. Consultar, resumir, avisar. Quien escribe es una persona, después de mirar. Cambiar escritura por lectura elimina la mayor parte del riesgo sin quitar casi nada del valor.

3. Cuando falle, ¿te enteras? No es "si". Es "cuando". Si el agente se equivoca y nadie recibe una alerta, lo vas a descubrir por el cliente quejándose. O peor, no lo vas a descubrir.

El aprobador humano tiene que ser humano de verdad

Aquí va mi opinión impopular: revisión automática con sello humano es peor que no tener ninguna revisión. Porque produce la sensación de seguridad sin la seguridad.

Si tu proceso es "la IA sugiere, Fulano aprueba" y Fulano aprueba cuarenta cosas por día en tres minutos cada una, no tienes aprobación. Tienes teatro. Y el teatro sale caro: en el momento en que salga mal, todos van a apuntar a Fulano, que en realidad nunca tuvo chance de revisar bien.

La manera correcta es separar lo que necesita ojo humano de lo que no. ¿Corrección de texto en un pie de página? Automático, que siga la fiesta. ¿Cualquier cosa que toque credenciales, permisos, pagos o datos de clientes? Se detiene en la fila y espera a una persona con tiempo para pensar. Menos cosas en la fila significa más atención en cada una.

En la práctica, eso suele volverse una regla simple de dos o tres líneas en tu automatización. No es un proyecto de seis meses.

El consuelo: el que fue pillado es el que estaba mirando

Hay un detalle de la historia de Snowflake que me parece el más importante de todos, y casi nadie lo comenta. Ese agujero solo apareció porque existía un programa para que investigadores externos reportaran fallas. Alguien fue, buscó, encontró, avisó. La empresa corrigió y dejó publicar.

O sea: las empresas que aparecen en este tipo de noticias generalmente son las que están haciendo más que el promedio, no menos. Las que nunca aparecen no son más seguras. Solo son menos observadas.

Eso debería tranquilizarte e incomodarte al mismo tiempo. Tranquilizarte porque equivocarse en este tema es normal, nadie lo tiene resuelto. Incomodarte porque si Snowflake, con todo su aparato, dejó pasar algo, tu automatización hecha a las apuradas en tres tardes probablemente tiene cosas peores. Y nadie está buscando.

No estoy diciendo que apagues tus agentes. Yo construyo automatización con IA todos los días y no volvería atrás. La ganancia es demasiado grande. Estoy diciendo que dejes de tratar "la IA lo sugirió" como si fuera garantía de calidad. Es una sugerencia. Una sugerencia muy buena, hecha por algo que no sabe dónde está pisando.

Si ya tienes agentes corriendo en tu negocio y nunca hiciste las tres preguntas de arriba, vale media hora de conversación para mapear lo que está expuesto. Suele ser más simple de arreglar de lo que parece, y mucho más barato ahora que después. Cuéntame qué automatizaste y lo miramos juntos.

Snowflake se llevó una brecha de seguridad por culpa de una corrección sugerida por IA que alguien aprobó sin mirar bien.

El detalle que me atrapó: desconfiamos de lo que la IA escribe desde cero, pero aceptamos casi con los ojos cerrados lo que ella "arregla". Una alerta de vulnerabilidad tiene cara de autoridad, y esa cara apaga el sentido crítico.

El problema nunca fue la IA. Fue el permiso que recibió.

Tres preguntas que hago antes de encender cualquier agente: si se vuelve loco, ¿cuál es el peor daño? ¿Necesita escribir de verdad o solo leer? Y cuando falle, ¿alguien se entera?

Revisión automática con sello humano es peor que ninguna revisión, porque produce la sensación de seguridad sin la seguridad.

Si ya tienes agentes corriendo en tu negocio y nunca hiciste esas preguntas, cuéntame qué automatizaste. Lo miramos juntos.

#IA #AgentesDeIA #Automatizacion #SeguridadDeLaInformacion #Tecnologia