¿Qué agentes de IA pueden actuar hoy dentro de los navegadores de tus empleados? Si un agente empezara a navegar esta mañana, ¿sabrían que no es el empleado? La mayoría de los equipos de seguridad todavía no puede responder a esas preguntas. No es falta de esfuerzo: refleja la velocidad con la que la IA pasó de responder preguntas a ejecutar acciones.
Hoy los agentes de IA operan navegadores dentro de aplicaciones autenticadas y llegan allí por distintas vías: interfaces de depuración, extensiones, navegadores agénticos y estándares emergentes como WebMCP. Cada una modifica qué puede acceder un agente, cómo se atribuyen sus acciones y si los controles existentes pueden verlas.
1. Depuración remota: aplicaciones que controlan el navegador
Una de las formas en que los agentes de IA operan navegadores no es nueva: el Protocolo de Herramientas de Desarrollo de Chrome (CDP, por sus siglas en inglés).
CDP se creó para que los desarrolladores inspeccionen, depuren y automaticen navegadores basados en Chromium. Ofrece acceso programático a la navegación, el contenido de la página, la actividad de red y las interacciones del usuario. Herramientas como Playwright y Puppeteer lo usan desde hace años. Los agentes de IA emplean el mismo enfoque para navegar sitios web, extraer información, rellenar formularios e interactuar con aplicaciones web.
La diferencia clave es que la automatización no tiene por qué originarse dentro del navegador. Una aplicación externa puede conectarse a un navegador con la depuración habilitada y controlar sus pestañas. Si ese navegador tiene sesiones autenticadas, la automatización puede aprovechar ese acceso.
Para la mayoría de las herramientas de seguridad, un navegador lanzado con la depuración activada y con sesión iniciada en aplicaciones corporativas parece una sesión autenticada más.
La pregunta que hay que hacerse: ¿qué aplicaciones pueden lanzar o conectarse a navegadores depurables? ¿Lo permiten tus políticas y a qué sesiones corporativas pueden acceder esas aplicaciones?
2. Extensiones de IA y navegadores agénticos
El segundo enfoque coloca al agente directamente dentro del navegador.
Extensiones como Claude in Chrome pueden leer páginas, cambiar de pestaña, hacer clic en botones y completar flujos de trabajo de varios pasos. Esto exige permisos potentes, como scripting, acceso a pestañas y la API del depurador. Esos permisos habilitan la funcionalidad, pero también amplían lo que la extensión puede consultar.
Navegadores agénticos como Perplexity Comet y ChatGPT Desktop van más lejos e integran la IA en la propia experiencia de navegación. Estas capacidades no están necesariamente reguladas por los permisos de extensiones, por lo que los controles existentes para extensiones podrían no aplicarse.
Sin un inventario de los navegadores de todo el parque de equipos, es posible que no se sepa qué agentes están operando. Destacan dos riesgos.
- Los agentes actúan con la identidad del usuario. Cuando un agente descarga un documento o cambia la configuración de una aplicación interna, la aplicación ve a un usuario autenticado realizando una solicitud autorizada.
- Sin telemetría adicional, ni la aplicación ni sus registros de auditoría pueden distinguir las acciones del agente de las del empleado.
- Los agentes tratan el contenido como entrada. Un navegador muestra una página para que alguien la interprete. Un agente lee esa página y decide qué hacer a continuación. Esto introduce riesgos de inyección de instrucciones (prompt injection), en los que instrucciones incrustadas en sitios web, documentos o correos electrónicos intentan redirigir su comportamiento.
- El resultado es software que interpreta contenido no confiable mientras opera con permisos de confianza.
La pregunta que hay que hacerse: ¿qué extensiones de IA y navegadores agénticos se ejecutan en tu parque de equipos, qué acceso tienen y puedes distinguir sus acciones de las de un empleado?
Tu pila de seguridad ve el inicio de sesión, no al agente
Una vez que un agente de IA está dentro de una pestaña autenticada, las herramientas de endpoint y de red pierden de vista lo que lee y hace.
Keep Aware supervisa la actividad de IA en el navegador y aplica políticas de protección de datos antes de que la información sensible salga de la pestaña.
3. WebMCP: sitios web que exponen herramientas directamente a los agentes
El tercer enfoque cambia la forma en que los sitios web interactúan con los agentes.
WebMCP es un estándar web emergente desarrollado por el Grupo Comunitario de Aprendizaje Automático Web del W3C, con contribuciones de Google y Microsoft. En lugar de interpretar páginas y simular clics, los agentes pueden invocar herramientas estructuradas que los propios sitios web exponen.
Por ejemplo, en vez de navegar por un portal de soporte y rellenar formularios, un agente podría llamar a una herramienta para crear un ticket. Chrome presentó una vista previa temprana en 2026 y la especificación sigue evolucionando.
Pero esto introduce un nuevo problema de confianza. Los sitios web ya no solo presentan contenido: definen acciones que los agentes pueden ejecutar.
Los nombres de las herramientas, sus descripciones y los esquemas de entrada guían lo que invoca un agente. Esas definiciones provienen del sitio web y no deben tratarse como instrucciones de confianza. Un sitio comprometido o malicioso podría usar descripciones o funcionalidades engañosas para influir en el comportamiento del agente.
Cada herramienta opera dentro del contexto de seguridad de su sitio web, pero los agentes que trabajan en varios sitios pueden mover información entre ellos. La preocupación no es solo qué hace una herramienta, sino qué datos aporta el agente al invocarla.
La pregunta que hay que hacerse: ¿qué datos corporativos pueden pasar los agentes a las herramientas de los sitios web, adónde van esos datos y puedes controlar qué herramientas usan?
Qué significa esto para la seguridad del navegador
Los tres enfoques comparten un elemento: el software actúa en sitios web con el acceso vinculado a la sesión del navegador de un usuario.
Por eso la seguridad del navegador ya no puede dar por sentado que hay una persona detrás de cada clic. Los controles de endpoint, red y aplicaciones siguen siendo importantes. Pero se diseñaron para ver procesos, tráfico e inicios de sesión, no lo que un agente lee, decide y hace dentro de una pestaña autenticada. Ahí está la brecha.
El objetivo no es impedir que los empleados usen agentes de IA. Los agentes van a convertirse en una parte normal del trabajo. El objetivo es asegurar que los controles que ya se esperan en el navegador sigan aplicándose cuando el que opera es un agente.
Descubre qué está operando tus navegadores
Keep Aware, empresa de Jamf, ofrece a los equipos de seguridad visibilidad y control donde las personas y los agentes de IA trabajan realmente: el navegador. Ayuda a descubrir navegadores y extensiones con IA, supervisar la actividad de IA en toda la plantilla y aplicar políticas de protección de datos antes de que la información sensible abandone la pestaña.
¿Quieres ver qué agentes ya operan en tu entorno? Solicita una demostración con su equipo y te lo mostrarán.
Patrocinado y redactado por Keep Aware.
Deja una respuesta