En Salesforce Agentforce, la forma recomendada de hacer que un agente responda a eventos es mediante un Flow: se crea un registro o se actualiza un caso, y el Flow pasa datos al prompt del agente. Por separado, Email-to-Case y Web-to-Case convierten los mensajes entrantes de clientes en registros de caso; así gestionan las aerolíneas y los hoteles la recepción de soporte. Ambas son funciones estándar, documentadas y diseñadas para funcionar así. Encadenadas, producen esta ruta:
internet público → correo electrónico → registro de caso → prompt del agente → acción del agente → comentario del caso → respuesta saliente
Un externo no autenticado tiene ahora una vía hacia las instrucciones de un agente interno, y la respuesta del agente sale por la misma puerta. Nada estaba mal configurado. El hallazgo, documentado por investigadores en agosto de 2026, es un ejemplo claro de cómo fallan los agentes que llegan dentro de plataformas existentes: a través de la aplicación que los rodea, no del modelo que contienen.
El riesgo está en la aplicación, y la aplicación es lo que nadie vuelve a revisar
Qué funciones de recepción están habilitadas, qué disparadores se activan, qué objetos están expuestos a usuarios invitados, qué automatizaciones pasan datos no confiables a dónde y qué versión del modelo está llamando el agente en silencio: estas son las variables que deciden si la cadena de Agentforce es una molestia para la cola de soporte o una exposición de datos. Una revisión de riesgos de proveedor realizada una sola vez durante la adquisición no ve nada de esto, porque el agente no existía en el momento de la compra. Un filtro de prompts que vigila las entradas del agente no sabe que una entrada concreta provino de un desconocido, porque los filtros de prompts no entienden de Email-to-Case.
Asegurar un agente heredado significa, por tanto, comprender su aplicación anfitriona con la profundidad que tienen sus propios administradores. Esa profundidad es justo lo que ni un cuestionario ni un escáner poseen. La campaña City-Forum, una operación activa de robo de datos a nivel mundial contra instancias de Salesforce y ServiceNow en funcionamiento desde marzo de 2025, se encontró exactamente en este terreno: la brecha entre las funciones de la plataforma y las configuraciones que las empresas realmente ejecutan.
Los constructores se multiplican, y algunos son agentes
Las plataformas han hecho la creación de agentes tan accesible como hacer una presentación. Operaciones de marketing crea un agente para extraer informes de pipeline. Finanzas crea uno para conciliar facturas. Cada uno cabalga sobre los permisos de su creador, porque eso es lo que lo hace útil. La IA en la sombra era un empleado pegando datos en un chatbot. Los agentes en la sombra son el acceso de ese empleado, ejecutándose sin supervisión, multiplicado por todo lo que se le concedió alguna vez.
Cada vez más, los agentes también construyen agentes. Un agente de programación etiquetado en un canal de chat puede crear y desplegar otro agente con la misma facilidad con que abre una solicitud de extracción; una plataforma de orquestación lanza subagentes para dividir una tarea, cada uno con sus propias conexiones y ninguno con su propia revisión. Cualquier modelo de gobernanza que suponga que un humano solicitó cada agente está quedando obsoleto en silencio.
Por qué la gobernanza sigue produciendo un documento
Pregunte a una gran empresa sobre la gobernanza de agentes y la respuesta suele ser un documento: una política de uso aceptable, un comité mensual, un conjunto de principios que nadie discute y nada hace cumplir. Pregunte por la cuestión operativa —cuántos agentes se están ejecutando ahora mismo, a qué pueden llegar y quién es el dueño de cada uno— y el documento no lo sabe.
El OWASP Agentic Skills Top 10 describe ahora la versión más cruda de esta brecha en su categoría "No Governance": una habilidad desplegada y gestionada dentro de una plataforma de terceros es inalcanzable para los escáneres externos (OWASP Agentic Skills Top 10 whitepaper, ast10-top10-whitepaper-2, publicado en owasp.github.io). Las herramientas que una empresa apunta al problema desde fuera no pueden ver dentro de los entornos donde viven la mayoría de los agentes. La gobernanza falla con mayor frecuencia porque las reglas se escriben antes de que el equipo de seguridad pueda ver las cosas a las que las reglas se aplican.
La pila, de abajo arriba, con una prueba para cada capa
El orden de trabajo es de abajo arriba, y cada capa es la precondición de la superior. Una forma práctica de comprobar si un programa es real es aplicar una prueba operativa en cada nivel.
El coste del cumplimiento en papel
Las sanciones de la Ley de IA de la UE tienen un peso similar al del RGPD: hasta 35 millones de euros o el 7% de la facturación anual global por prácticas prohibidas, y hasta 15 millones o el 3% por otras infracciones. Todos los marcos que convergen hacia ella suponen que existe la pila anterior. El RGPD ya mostró qué pasa cuando no existe. British Airways (20 millones de libras) y Marriott (18,4 millones) no fueron multadas por tener políticas imperfectas. Todo el mundo tiene políticas imperfectas. Fueron multadas porque el cumplimiento existía en papel y no pudo evidenciarse operativamente cuando los reguladores preguntaron. Una práctica de gobernanza construida de abajo arriba genera esa evidencia como subproducto: el inventario, los propietarios, las configuraciones, el historial de revisiones.
Algunas plataformas están diseñadas para producir exactamente ese registro. Un ejemplo destacado es Reco, que descubre agentes desde múltiples puntos de observación, incluidos los que nunca pasan por SSO, y asigna a cada uno un perfil de riesgo antes de que se pueda aplicar cualquier política.
La cadena de Agentforce del principio de este artículo no es un exploit. Es una configuración, y las configuraciones son gobernables, siempre que alguien pueda verlas. Los capítulos 1 a 3 de Into the Expanse cubren el cambio, los tres vectores de lanzamiento y la práctica de gobernanza en su totalidad: https://www.reco.ai/agent-ecosystem-security
Deja una respuesta