Arquitectura de seguridad para agentes de IA: las capas y las herramientas que las cubren

Un agente lee archivos, llama a APIs y modifica registros, así que su seguridad es una cuestión de arquitectura antes que de producto. Los proveedores ya venden controles específicos para IA, pero sus nombres se superponen y su alcance difiere. Este artículo es un mapa de las capas, con ejemplos de herramientas en cada una; no es una guía de compra.

Parte por las capas

• Borde de red: inspecciona el tráfico hacia y desde servicios de IA y puede revelar usos de IA que nadie aprobó.
• Pasarela de IA: se ubica entre tus aplicaciones, agentes, modelos y herramientas, y revisa los prompts y las llamadas a herramientas.
• Identidad y alcance de las herramientas: cada agente tiene su propia identidad, herramientas acotadas y aprobaciones para las acciones riesgosas.
• Detección y respuesta: telemetría de agentes, equipos e identidades, con personas que la vigilan.
• Pruebas previas al lanzamiento: ataques y evaluaciones que corren en integración continua, antes de que un cambio salga.

Qué dice cada proveedor que hace su herramienta

• Fortinet describe FortiAIGate como una pasarela de IA autoalojada para modelos, agentes y herramientas MCP. Se ubica entre tus aplicaciones, agentes, LLM y herramientas MCP, detiene ataques y fugas de datos, hace cumplir la política de uso y limita el gasto. Fortinet dice que FortiGate envía a FortiAIGate el tráfico de IA que detecta.
• Palo Alto Networks documenta un servidor MCP de Prisma AIRS que funciona interceptando las invocaciones de herramientas, realizando un análisis de seguridad y devolviendo un veredicto sobre si se detectó una amenaza.
• CrowdStrike anunció en septiembre de 2025 un acuerdo para adquirir Pangea, con el fin de entregar lo que llama detección y respuesta de IA, aplicando a la IA el modelo de detección y respuesta en equipos. Confirma el producto y su disponibilidad actual con el proveedor.
• promptfoo se describe como una CLI y biblioteca de código abierto para evaluar y hacer red teaming de aplicaciones con LLM. garak, de NVIDIA, es un escáner de vulnerabilidades de LLM de código abierto. Ambos pueden ejecutarse antes del lanzamiento.

Cómo se conectan las capas

Una solicitud entra por el borde, llega al agente, y luego cada prompt y cada llamada a una herramienta pasan por la pasarela de IA antes de llegar a un modelo o a un sistema del negocio. La telemetría fluye hacia la detección y la respuesta. Las pruebas de red team y las evaluaciones corren en integración continua, de modo que un cambio que haga al agente más fácil de engañar se detecte antes de que lo vean los usuarios.

Principios que duran más que cualquier producto

• Asume que el modelo puede ser engañado y asegúrate de que un modelo engañado pueda hacer poco: identidades acotadas, credenciales de corta duración.
• Mantén el control fuera del modelo. Las políticas, los límites y las aprobaciones pertenecen a código que el modelo no pueda reescribir.
• Mantén a una persona en el circuito para las acciones riesgosas. La especificación de MCP dice que siempre debería haber una persona capaz de denegar las invocaciones de herramientas.
• Registra cada llamada a una herramienta con la identidad que actuó, para poder reproducir un incidente.

Preguntas para cualquier proveedor

• ¿Qué capa cubre y cuál deja en manos de otro?
• ¿Es autoalojado o un servicio en la nube, y a dónde van los prompts y los registros?
• ¿Ve el tráfico de MCP y de agentes, o solo las llamadas simples a modelos?
• ¿Cómo se prueban sus protecciones y cómo se relacionan con las listas de OWASP? Trata las afirmaciones de alineación del propio proveedor como afirmaciones.