Chema Alonso advierte de que incorporar inteligencia artificial a una empresa también obliga a revisar su seguridad. El experto en ciberseguridad, vicepresidente y responsable de desarrollo internacional de Cloudflare, sitúa parte del peligro en los sistemas que la propia organización decide utilizar.Un asistente conectado al correo o a documentos internos puede recibir permisos para actuar sobre ellos. Un error deja entonces de afectar solo a la respuesta. El programa podría enviar un mensaje o modificar archivos si dispone de esas funciones.El contenido que lee también importa. Un texto procedente del exterior puede esconder instrucciones maliciosas que el modelo interprete como una orden. Para una empresa, eso obliga a revisar cómo entra la información que maneja el asistente.Cuando un documento da órdenesAlonso situó esa advertencia en el debate sobre la banca europea, en una entrevista de Ernesto Páez publicada en Business People el 3 de junio de 2026. Reclamó que las inversiones destinadas a estas herramientas incluyan dinero para proteger su funcionamiento, sin prometer eliminar los riesgos. También advirtió de que los atacantes pueden aprovechar agentes capaces de encadenar las distintas fases de una intrusión informática.Una de esas debilidades se conoce como inyección de instrucciones. El Centro Nacional de Ciberseguridad británico explica que los modelos de lenguaje carecen de una separación segura entre los datos que reciben y las órdenes. El riesgo crece al conectar asistentes con datos personales y darles herramientas para actuar: la manipulación puede salir del chat. El organismo advierte de que bloquear unas cuantas frases conocidas no resuelve el problema: el atacante puede reformularlas. Las defensas deben limitar las acciones posibles, incluso cuando el modelo llegue a interpretar ese texto como una instrucción.En la comunicación entre agentes, un programa comprometido puede transmitir instrucciones maliciosas a otro. OWASP, proyecto dedicado a la seguridad del software, incluye ese supuesto en su clasificación de amenazas. El daño dependerá de las funciones disponibles y de la autonomía concedida al agente que recibe el mensaje.Permisos y desconexiónEn uno de los ejemplos de esa clasificación, un asistente que solo tiene que resumir correos recibe también capacidad para enviarlos. Separar la lectura del envío permite limitar el daño si alguien consigue engañarlo. La autorización de operaciones delicadas debe comprobarse en los sistemas conectados, sin dejar esa decisión en manos del propio modelo. Para las acciones con mayor impacto, la guía también recomienda exigir la aprobación de una persona.La gestión de agentes en las empresas exige además poder reconstruir lo sucedido. En sus recomendaciones provisionales del 20 de agosto de 2026, el organismo británico propone registrar la actividad y conservar esos registros protegidos frente a cambios o borrados. También pide que cada agente tenga una identidad propia y que sus credenciales se reduzcan a las que necesita.Frente a la automatización de ciberataques, el aislamiento del entorno ayuda a acotar qué recursos puede alcanzar un programa. Las mismas recomendaciones aconsejan controlar las conexiones de red y combinar la supervisión humana con barreras técnicas cuando un fallo pueda tener consecuencias graves. Las instrucciones escritas al asistente no bastan por sí solas para garantizar esos límites.Ante un incidente, hay que poder detener la actividad autónoma. Eso puede exigir cortar el acceso a la red o interrumpir las comunicaciones del agente con el modelo que utiliza. Parar solo el proceso del agente puede ser insuficiente para contener el incidente.