Las pruebas de seguridad tradicionales en sistemas de inteligencia artificial están dejando pasar vulnerabilidades críticas que los atacantes explotan con facilidad. Un análisis reciente de 6,986 ataques multi-turno contra 15 modelos de IA líderes reveló que los atacantes logran comprometer los sistemas entre el 7.89% y el 88.3% de las veces cuando adaptan su estrategia a lo largo de una conversación, un riesgo que las pruebas de seguridad convencionales, basadas en ataques de un solo turno, simplemente no detectan.
Para las empresas latinoamericanas que implementan agentes de IA en sistemas empresariales críticos como SAP, Odoo u otros ERP, esta brecha de seguridad representa una amenaza operacional directa. Los agentes de IA cada vez más potentes integrados en estas plataformas pueden acceder a datos sensibles, ejecutar transacciones financieras y controlar procesos comerciales. Si un atacante logra «conversar» con el agente a través de múltiples interacciones, puede manipularlo de formas que una evaluación tradicional de seguridad nunca anticiparía. La diferencia es fundamental: una prueba de seguridad de un solo turno es como probar que una puerta está cerrada; un ataque multi-turno es como un ladrón probando la puerta, la ventana, y luego revisando si alguien olvidó las llaves en la cerradura.
La realidad empresarial en Latinoamérica acentúa aún más este riesgo. Según un análisis de seguridad reciente, el 54% de las empresas ha experimentado al menos un incidente de seguridad confirmado o un evento cercano al desastre relacionado con agentes de IA. Sin embargo, solo el 32% de las organizaciones asigna identidades independientes y gestionadas a cada agente, y apenas el 30% aísla sus agentes de mayor riesgo en entornos sandbox. Esto significa que la mayoría de los sistemas ERP latinoamericanos aún funcionan con defensas inadecuadas contra un tipo de ataque que es cada vez más realista y efectivo. Las grandes empresas de seguridad cibernética —Palo Alto Networks, CrowdStrike y Cisco— han invertido miles de millones en adquisiciones estratégicas de empresas especializadas en gestión de identidad e aislamiento de agentes, reconociendo que estas capas de defensa son precisamente lo que falta en las implementaciones empresariales actuales.
La adopción de agentes de IA en sistemas ERP como SAP y Odoo introduce complejidad que va más allá de la seguridad tradicional de aplicaciones. Un agente puede tener «habilidades» que incluyen acceso a bases de datos, capacidad para ejecutar transacciones, permiso para enviar correos electrónicos o acceso a integraciones con sistemas externos. Cada una de estas habilidades representa una potencial vulnerabilidad si un atacante logra convencer al agente de usarlas de formas no autorizadas. La estrategia defensiva recomendada por expertos se estructura en tres capas: primero, permisos granulares que aseguran que el agente nunca acceda a más datos o funciones que el usuario que lo invocó; segundo, entornos sandbox efímeros que contienen el daño si un agente es comprometido; y tercero, controles de ejecución en tiempo real que restringen las llamadas a herramientas solo a aquellas relevantes para la tarea específica. Por ejemplo, si un agente debe resumir un documento en Odoo, un control de tiempo real debería impedir que ese agente intente enviar datos a direcciones de correo maliciosas, porque esa acción simplemente no debería estar en su vocabulario de funciones permitidas.
Para los directivos y responsables de tecnología en empresas latinoamericanas, la recomendación es inmediata: evaluar cómo se están probando actualmente los agentes de IA implementados en sistemas críticos. Si las pruebas de seguridad son del tipo «pregunta y respuesta única», es prácticamente seguro que faltan vulnerabilidades importantes. Las evaluaciones deben simular atacantes que aprenden y adaptan su estrategia a través de múltiples turnos de conversación. Algunos proveedores de ERP están comenzando a integrar capas de seguridad más sofisticadas en sus plataformas, pero la responsabilidad de implementar defensas multi-capa recae principalmente en las organizaciones. Las empresas que lideran en seguridad de agentes están moviendo la evaluación desde procesos manuales puntuales hacia evaluaciones continuas y automáticas, donde otros agentes de IA actúan como «atacantes rojos» que constantemente buscan nuevas vulnerabilidades. Además, la confianza inicial en los agentes no debe ser permanente: incluso cuando un agente opera correctamente durante meses, un solo error puede colapsar la confianza, requiriendo reiniciar el monitoreo y validación desde cero.
La transformación digital en Latinoamérica está acelerando la adopción de agentes de IA en sistemas ERP, pero sin una estrategia de seguridad robusta y orientada a multi-turno, las organizaciones están acumulando riesgo operacional y de datos. Las inversiones actuales en seguridad de identidad y aislamiento de agentes deben ser tratadas como prioritarias, no como optimizaciones futuras. Los CISOs y líderes tecnológicos deben comenzar a presionar a sus proveedores de ERP y seguridad por herramientas de evaluación y monitoreo que reflejen la realidad de cómo los atacantes realmente operan: adaptándose, aprendiendo y refinando su enfoque a lo largo de múltiples interacciones. La ventana para implementar defensas adecuadas antes de que los incidentes en producción revelen las debilidades es limitada.
