17.800 complementos de IA reciben órdenes de fuentes que nadie verificó. Ahora el endpoint puede bloquear el suyo
By Surya Pratap
7 de septiembre de 2026
11 min de lectura
IA y tecnología
7 de septiembre de 2026
11 min de lectura
La cadena de suministro y la nueva puertaHover to exploreCasi todas las semanas la noticia sobre agentes es una capacidad. Esta semana fue una puerta.
El 1 de septiembre se lanzaron dos cosas con horas de diferencia. CrowdStrike presentó Falcon Guardian, que inventaría todos los agentes de IA en ejecución en una máquina —incluidos los que nadie registró— y bloquea a los agentes que nadie aprobó. Y AIR Security salió del sigilo con 50 millones de dólares para construir un cortafuegos en línea que filtra lo que entra en el contexto de un agente antes de que este actúe.
Leídos por separado, dos anuncios de producto. Leídos juntos, son la misma frase desde ambos extremos: los agentes están llegando a las empresas más rápido de lo que nadie puede contabilizarlos, y la respuesta ha pasado de la política a la ejecución forzosa.
Dos lanzamientos, 1 de septiembre de 2026
Uno construido para ver y detener agentes, otro para comprobar qué cargan
Fíjese en quién compra. AIR informa de más de 20 empresas que ya usan la plataforma, alrededor de una cuarta parte grandes corporaciones, con la demanda más fuerte en servicios financieros y farmacéuticas. Son las dos industrias que históricamente deciden cómo serán las compras de todos los demás dieciocho meses después.
No la financiación. No el bloqueo. Esta:
Agente de IA en la sombra. Conocidos y en la sombra, en Windows y macOS.
«Agente de IA en la sombra» ya es una categoría con nombre dentro de un producto de seguridad, con un inventario en vivo adjunto y un botón de bloqueo al lado.
Esa formulación tiene historia. «Shadow IT» fue como el sector llamó durante una década a la adopción de SaaS de abajo arriba, y la adopción de SaaS de abajo arriba fue, durante esa misma década, la estrategia de distribución más fiable que tenía un fundador de software. No le vendía al CIO. Le instalaba la persona que necesitaba la herramienta, y para cuando compras se enteraba, usted tenía cuatrocientas licencias y un defensor interno.
Todas las startups de agentes que conozco están ejecutando alguna versión de ese manual ahora mismo. Un ingeniero instala su CLI. Un equipo conecta su servidor MCP. Nadie abre un ticket.
La simetría incómoda
Ahora existe un producto cuyo trabajo explícito es producir una lista de exactamente esas instalaciones, nombrar a la persona que desplegó cada una y detener las que nunca se aprobaron. Su estrategia de distribución y la lógica de detección describen el mismo evento. Eso no significa que usted sea la amenaza para la que se construyó, pero el inventario no lo sabe el primer día, y el analista de seguridad que lo lee tampoco.
Es fácil leer la cifra de AIR como una historia sobre actores maliciosos publicando skills dañinas. Parte lo es: complementos falsos que visten la marca de Anthropic y OpenAI para pasar la revisión son, sin más, un ataque.
Pero la mayor parte de esos 17.800 no es malicia. Son complementos que traen sus instrucciones de otro sitio en tiempo de ejecución —una URL, un repositorio, una configuración alojada— porque esa es una forma perfectamente razonable de publicar actualizaciones sin volver a publicar el paquete. La cadena de suministro hace lo que hacen las cadenas de suministro.
El problema es qué significa eso cuando al otro extremo hay un agente. Una librería que usted instala ejecuta el código que auditó. Un complemento que trae instrucciones en tiempo de ejecución ejecuta texto que llega después, dentro de una ventana de contexto que lleva adjuntas sus credenciales y los permisos de sus herramientas. No es una dependencia en el sentido que entiende su escáner de dependencias. Es un canal abierto hacia la parte de su sistema que actúa.
Escribí sobre la mitad de identidad de esto cuando la hoja de ruta de MCP empezó a diseñar al humano fuera del bucle. Esta es la otra mitad: no quién es el agente, sino de dónde vinieron sus instrucciones.
La misma investigación es un aviso apuntando en la otra dirección. La mayoría de los fundadores que distribuyen productos de agentes también están, en silencio, ejecutando veinte complementos de otros en su propio stack.
La cronología forense completa de la brecha del agente de OpenAI es la versión de esto que ya ocurrió, y la forma era la misma: el agente no fue comprometido; lo fue aquello en lo que confiaba.
Esto no es el fin de lo de abajo arriba. El bloqueo es una capacidad que hay que activar, afinar y dotar de personal. La mayoría de las empresas ejecutarán descubrimiento durante mucho tiempo antes de ejecutar bloqueo, porque un falso positivo que mata el agente de programación de un ingeniero es un ticket caro. El inventario llega bastante antes que el bloqueo.
Dos lanzamientos en un día son una señal, no un mercado. Los proveedores agrupan anuncios alrededor de las conferencias, y Fal.Con era esa semana. Lo que lo hace digno de escribirse es que uno es un incumbente añadiendo bloqueo y el otro una empresa de seis meses levantando 50 millones sobre la misma premisa, pero siguen siendo dos datos, y estoy leyendo una dirección en ellos.
Los 17.800 de AIR son su propia investigación. Viene de una empresa que vende la solución a lo que midió, lo que no lo hace falso —el hallazgo de suplantación es concreto y comprobable—, pero el marco de qué cuenta como «no confiable» es suyo, y la tasa de filtrado del 27 % sugiere que la cifra bruta era aún más ruidosa.
Lo interesante del 1 de septiembre no es ninguno de los dos productos. Es que la pregunta cambió de «¿se puede confiar en los agentes?» a «¿qué agentes están corriendo aquí, quién los puso y deberían estar?». Esa es una pregunta operativa, y las preguntas operativas se responden con herramientas, y las herramientas se compran.
Para los fundadores que distribuyen agentes, el cambio práctico es pequeño y molesto: el momento en que nadie se fijaba en usted sostenía peso, y lo están instrumentando hasta hacerlo desaparecer. Lo que lo sustituye no es peor, solo más lento y más explícito: un artefacto de aprobación, un responsable con nombre, un alcance que se pueda describir en una página.
Para los fundadores que ejecutan agentes, el cambio es mayor. Su lista de dependencias es ahora también una lista de instrucciones, y la segunda no la revisó nunca nadie. 17.800 complementos y 6,7 millones de instalaciones no son una historia sobre la postura de seguridad de otros. Son una estimación decente de cuántos de esos canales están abiertos ahora mismo dentro de empresas normales, incluida la suya.
Fuentes: Nota de prensa de CrowdStrike, «CrowdStrike Unveils Falcon Guardian to Secure AI Agents Where They Execute» · SiliconANGLE sobre Falcon Guardian · SiliconANGLE sobre el lanzamiento de AIR Security · SecurityWeek sobre la ronda de AIR Security · Las capacidades de producto, la financiación y las cifras de investigación son las publicadas; el argumento sobre distribución y las cautelas de la sección 6 son míos.
IdeaToMVP Academy
4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.