Agentes de IA en el código: cuando el arreglo abre la puerta

Aprobaste una corrección porque el sistema dijo que resolvía un problema de seguridad. Semanas después, descubres que fue justamente esa corrección la que dejó la puerta abierta. Eso fue más o menos lo que le pasó a Snowflake. Y el caso es un gran retrato de cómo los agentes de IA están cambiando la forma en que trabajan las empresas, para bien y para mal.

No hace falta ser programador para entenderlo. Lo prometo.

Qué pasó en el caso Snowflake

Snowflake es una empresa gigante de datos. Tiene equipo de seguridad, procesos, auditoría. No es el sobrino que arma la web el fin de semana.

Usa GitHub para guardar su código. Y GitHub tiene una herramienta llamada Copilot Autofix: la IA encuentra un problema en el código y ya sugiere el arreglo listo. Alguien del equipo lo revisa, hace clic en aprobar, y listo.

Investigadores de Wiz, una empresa de seguridad, pusieron a correr un agente propio para cazar fallas. Y encontró algo curioso. Una de esas correcciones generadas por IA, aplicada en la parte que automatiza pruebas y publicaciones del código, creó una brecha nueva. Por ese camino, alguien de afuera podía hacer que el sistema de la empresa ejecutara comandos y llegara a credenciales internas. Con ellas, se podía tocar el Jira de Snowflake, la herramienta donde el equipo organiza tareas, bugs y proyectos.

La falla fue reportada y corregida. Nadie se llevó la caja fuerte. Pero el mensaje quedó.

Fíjate en la ironía. Llamaron a la IA para tapar un agujero. Tapó uno y abrió otro, en un lugar más sensible. Y un humano lo aprobó, porque parecía correcto.

Por qué te importa aunque no tengas un equipo de TI

Quizás estés pensando: "Diego, tengo una clínica. Una tienda. Una empresa de 15 personas. No uso GitHub".

Es justo. Pero cambia los nombres y la historia es la misma:

• El agente de IA que responde a clientes por WhatsApp y tiene acceso a tu sistema de pedidos.
• La automatización que lee correos y registra facturas en finanzas.
• El asistente que "ordena" tu hoja de clientes y tiene permiso para borrar filas.

En todos estos casos tienes una IA que actúa, no solo conversa. Y toda IA que actúa tiene una llave en la mano. La pregunta es: ¿qué puertas abre esa llave?

En el caso Snowflake, la llave abría más puertas de las que debía. Y nadie lo notó hasta que alguien de afuera lo probó.

Los agentes de IA se equivocan distinto que las personas

Un empleado nuevo que no sabe hacer algo suele dudar. Pregunta. Tarda. Pone cara de duda.

La IA no pone cara de duda. Entrega una respuesta limpia, bien formateada, con tono seguro. Incluso cuando está equivocada.

Eso cambia la psicología de quien revisa. Cuando el arreglo viene de una herramienta con el sello de una empresa grande, con la etiqueta "corrección de seguridad", la tendencia es confiar. Lo lees por encima, ves que tiene sentido y apruebas. Yo ya lo hice. Tú probablemente también, con un contrato, un presupuesto o un informe.

La IA no se equivoca con cara de error. Se equivoca con cara de solución.

Esa es la parte peligrosa. No es que la IA sea tonta. Es que es convincente, y nosotros nos relajamos ante lo convincente.

El problema no es la IA, es el permiso

Aquí va mi opinión fuerte: la mayoría de los desastres con agentes de IA no van a ser culpa de la IA. Van a ser culpa de quien le dio demasiado acceso.

Piénsalo así. Si contratas a un pasante para ordenar el inventario, no le das también la clave del banco. No porque sea deshonesto. Porque no la necesita para ordenar el inventario.

Con la IA hacemos lo contrario todo el tiempo. Conectamos el agente a la cuenta principal de Google. Le damos acceso de administrador al sistema porque "es más fácil de configurar". Usamos la misma contraseña para todo porque la integración pedía una y esa estaba a mano.

En el caso de Snowflake, el problema central fue ese: un proceso automático corriendo con más poder del que necesitaba, en un lugar donde un extraño podía influir en lo que hacía. La IA solo dejó el camino listo.

Cómo usar agentes de IA sin exponer a tu empresa

No digo que huyas de la IA. Construyo agentes para clientes todas las semanas. Ahorran horas reales. Una clínica con la que trabajé dejó de perder citas fuera de horario. Una oficina redujo a la mitad el tiempo de clasificar correos.

Pero hay reglas que siempre sigo. Son simples y sirven para empresas de cualquier tamaño.

1. Acceso mínimo. El agente solo ve lo que necesita para hacer la tarea. El bot de atención consulta horarios. No necesita ver la facturación.

2. Separa lectura de acción. Dejar que la IA lea es una cosa. Dejar que borre, pague, envíe o publique es otra. Las acciones sin vuelta atrás pasan por un humano.

3. Aprobar es trabajo, no un clic. Si alguien del equipo aprueba lo que sugiere la IA, tiene que saber qué está aprobando. Si no lo entiende, la aprobación es teatro. Mejor no tener el botón.

4. Credencial propia para cada automatización. Nada de usar tu contraseña personal en la integración. Cada agente con su propia llave, que puedas cancelar en un minuto si algo sale mal.

5. Registro de todo. Cada acción del agente queda anotada: qué hizo, cuándo y en base a qué. Cuando haya un problema, y tarde o temprano lo hay, lo descubres en minutos, no en semanas.

Ninguna de estas reglas exige herramientas caras. Exige que alguien lo piense antes de encender el agente, y no después del susto.

¿Y si ya tengo agentes funcionando?

Haz una prueba rápida. Toma cada automatización o asistente que usas hoy y responde tres preguntas:

1. ¿A qué cuentas y sistemas accede?
2. ¿Qué puede hacer solo, sin que nadie apruebe?
3. Si mañana hiciera lo peor posible con ese acceso, ¿cuál sería el daño?

Si la respuesta a la tercera te dio un nudo en el estómago, encontraste el punto a ajustar. La mayoría de las veces, la solución es quitar permisos que nunca se usaron. Lleva una tarde.

Un detalle importante: la falla en Snowflake la descubrió un agente de IA, solo que del lado de la defensa. O sea, la misma tecnología que creó el agujero ayudó a encontrarlo. El juego no es "IA sí o IA no". Es quién la usa, con qué cuidado y con quién vigilando.

La lección que me llevo

Si una empresa del tamaño de Snowflake, con un equipo de seguridad dedicado, dejó pasar una brecha creada por una corrección automática, tu empresa también puede. No es motivo de pánico. Es motivo para tratar a un agente de IA como tratas a un empleado nuevo con acceso al sistema: con confianza, pero con límites claros.

La IA va a seguir siendo más capaz. Los agentes van a hacer cada vez más cosas solos. Quien gane con esto será quien armó la casa bien desde el principio, y no quien salió a conectar todo con todo para ver qué pasaba. Spoiler: normalmente termina en una llamada desesperada un viernes a las 18h.

Si quieres poner agentes de IA a trabajar en tu negocio, pero con los pies en la tierra y las puertas cerradas, puedo ayudarte a diseñarlo contigo. Conoce mi trabajo y hablemos.

La IA no se equivoca con cara de error. Se equivoca con cara de solución.

En Snowflake, una corrección de seguridad generada por IA fue aprobada por alguien del equipo y terminó abriendo una brecha nueva, que daba acceso a credenciales internas.

El problema no fue la IA. Fue dar demasiado acceso y aprobar sin entender qué se estaba aprobando.

Si tienes un agente en WhatsApp, en finanzas o en tu hoja de cálculo de clientes, pregúntate: si mañana hiciera lo peor posible con ese acceso, ¿cuál sería el daño?

Acceso mínimo, un humano en las acciones sin vuelta atrás y registro de todo. No cuesta caro. Solo exige pensar antes del susto.

Escribí sobre esto en el blog. Si quieres poner agentes a trabajar con las puertas cerradas, hablemos.

#InteligenciaArtificial #AgentesDeIA #SeguridadDeLaInformacion #Automatizacion #Negocios