La industria pasó del chatbot al agente en menos de un año. Ya no hablamos de modelos que solo responden, sino de sistemas que planifican, recuerdan, invocan herramientas y se coordinan con otros agentes para ejecutar tareas de punta a punta; y cada una de esas capacidades es una superficie de ataque nueva que los controles tradicionales no contemplan.

El problema es que la autonomía se está desplegando en producción mucho más rápido de lo que madura su seguridad: organizaciones conectan agentes a sus APIs, bases de datos y servidores MCP sin entender que aquí el modelo ya no falla solo por lo que dice, sino por lo que hace. Esto abre vectores que no existían en el mundo de los LLMs pasivos: secuestro de objetivos mediante inyección indirecta en contenido externo, envenenamiento de herramientas vía descripciones maliciosas en servidores MCP, corrupción de la memoria persistente del agente para fabricar autorizaciones inexistentes, y abuso de agencia excesiva encadenando herramientas sin control de acceso.

En esta sesión aterrizamos el recién publicado OWASP Top 10 for Agentic Applications (2026), pero no desde la teoría: construimos y rompemos agentes reales sobre AWS y los explotamos en vivo viendo cómo un agente legítimo es redirigido para actuar en contra de su uso legítimo, entendiendo las brechas más comunes y comprendiendo como los diferentes servicios de AWS nos ayudan a mitigar estas brechas.

El objetivo no es solo entender dónde están las grietas de la IA autónoma, sino cómo diseñar agentes con mínimo privilegio, confirmaciones y trazabilidad que se puedan adoptar sin generar brechas.