Acalvio lanza Deception Guardrails, pero la seguridad de los agentes de IA necesita más que señuelos
Acalvio lanzó Deception Guardrails el 30 de julio, añadiendo una nueva capa de defensa para los agentes de IA después de que se eludieran los filtros convencionales de los modelos. Esta capacidad, pendiente de patente, coloca credenciales, herramientas, servicios y datos falsos dentro de los entornos que los agentes inspeccionan. Un agente malicioso o comprometido puede revelarse al interactuar con esos activos antes de llegar a un sistema de producción.
Este enfoque desplaza el perímetro de seguridad más allá de los prompts por sí solos. En lugar de asumir que un agente seguirá sus instrucciones, Acalvio parte de que un atacante puede manipular al agente o robar su identidad. Después, la empresa modifica lo que el sistema comprometido ve en tiempo de ejecución.
El lanzamiento convierte una antigua técnica de ciberseguridad en una prueba para un problema mucho más reciente. Los honeypots tradicionales atraen a atacantes humanos hacia sistemas monitorizados. Acalvio ahora busca que una infraestructura engañosa desvíe software capaz de razonar, llamar APIs, recuperar datos y actuar con credenciales legítimas.
La tensión central es clara. El engaño puede generar una alerta inusualmente sólida cuando algo toca un activo que ningún proceso legítimo debería usar. No puede determinar si cada acción peligrosa se encontrará con uno de esos activos.
Acalvio extiende el engaño al entorno de ejecución de los agentes de IA
El cambio significativo no es otro filtro de contenido. Acalvio está colocando puntos de detección dentro del entorno operativo donde los agentes usan herramientas y credenciales.
Deception Guardrails de Acalvio amplía su plataforma ShadowPlex a los flujos de trabajo de agentes y la infraestructura de IA adyacente. La empresa anunció cuatro componentes principales: honeytokens empresariales, honey skills orientadas a agentes, servicios de IA señuelo y detección en tiempo real vinculada a interacciones engañosas.
Un honeytoken es una credencial falsa u objeto de datos creado únicamente para revelar accesos no autorizados. Una honey skill aplica el mismo principio a la descripción de una herramienta o capacidad que un agente podría descubrir al leer archivos de configuración.
Acalvio afirma que puede colocar estos artefactos en archivos y superficies de configuración que se utilizan como contexto operativo. Si un agente intenta invocar una herramienta engañosa o usar una credencial falsa, la interacción genera una alerta.
La empresa también planea rodear los despliegues de IA con servidores Model Context Protocol señuelo. MCP es un protocolo que permite a los modelos conectarse con herramientas y datos externos mediante una interfaz común. Los objetivos enumerados por Acalvio también incluyen sistemas de generación aumentada por recuperación señuelo y agentes de IA falsos.
Estos activos crean varias oportunidades de detección. Un agente comprometido podría enumerar herramientas disponibles, buscar archivos de configuración, recuperar credenciales, consultar un repositorio de conocimiento o contactar a otro agente. Cada paso puede revelar comportamiento malicioso antes de que el flujo de trabajo alcance un recurso real.
El anuncio de lanzamiento describe este entorno como una “realidad engañosa”. La frase capta el mecanismo del producto, aunque su eficacia sigue siendo una afirmación de la empresa.
Acalvio no presenta Deception Guardrails como un sustituto de los controles de modelo. Describe la capacidad como una capa complementaria de tiempo de ejecución para situaciones en las que hayan fallado el filtrado de entrada, el filtrado de salida y las protecciones de alineación.
Esta distinción importa porque un agente de IA es más que un chatbot. Un chatbot devuelve texto. Un agente también puede autenticarse en servicios, elegir herramientas, modificar registros, enviar mensajes, ejecutar código o delegar trabajo a otro agente.
El riesgo comienza cuando esas acciones heredan autoridad real. Un atacante que manipula al agente quizá no necesite derrotar cada control perimetral. El agente ya tiene una posición de confianza, credenciales válidas y una ruta aprobada hacia los sistemas empresariales.
El comunicado de Acalvio usa un ejemplo directo. Si un agente se vuelve malicioso, la empresa afirma que los activos engañosos pueden revelar la desalineación, devolver datos fabricados y alertar al centro de operaciones de seguridad. Esta secuencia busca interrumpir el ataque antes de que se vea afectado un activo real.
Sin embargo, el anuncio no proporciona una referencia pública para Deception Guardrails en sí. No informa un número de despliegues, tasa de detección, tasa de falsos positivos ni resultado de tiempo hasta la alerta para la nueva capacidad.
Por tanto, el producto entra al mercado como una extensión técnicamente plausible del engaño cibernético, no como una respuesta a la seguridad de agentes validada de forma independiente. Su importancia proviene de dónde coloca el control: después de que el modelo produce una respuesta, pero antes de que un agente complete su objetivo.
Por qué los agentes de IA presionan a la seguridad reactiva
Los agentes comprimen pasos de ataque separados en un flujo de trabajo continuo, reduciendo el tiempo disponible para que los analistas reconozcan y contengan un compromiso.
Una intrusión dirigida por humanos normalmente incluye pausas. Un operador revisa el reconocimiento, elige un objetivo, obtiene acceso, estudia el entorno y decide hacia dónde moverse después. La automatización puede acortar esas etapas, mientras que un agente adaptativo puede conectarlas.
Acalvio sostiene que un sistema autónomo puede enumerar una red, recolectar credenciales, autenticarse y moverse lateralmente con una dirección humana limitada. El movimiento lateral implica progresar desde un recurso comprometido hacia otros sistemas dentro del mismo entorno.
Este modelo operativo desafía a los productos de seguridad que dependen de comportamientos reconocibles. Las herramientas basadas en firmas buscan código o infraestructura conocidos. Los sistemas de comportamiento señalan desviaciones de una línea base establecida. Ambos siguen siendo útiles, pero un agente puede variar sus acciones y operar mediante interfaces legítimas.
El problema se vuelve más difícil cuando un agente comprometido usa su identidad asignada. Sus llamadas pueden proceder de una cuenta de servicio autorizada. Sus solicitudes de API pueden parecer trabajo normal. Sus registros pueden aparecer en los logs bajo la misma identidad utilizada durante una operación segura.
La guía conjunta de gobiernos sobre la adopción cuidadosa de la IA agéntica describe esto como un problema de identidad y privilegios. La guía advierte que los permisos amplios, las decisiones de autorización estáticas y la segmentación débil pueden amplificar un componente comprometido.
Un escenario describe un agente de compras con acceso a sistemas financieros, correo electrónico y repositorios de contratos. Un atacante compromete una herramienta de menor riesgo en su flujo de trabajo y luego hereda los privilegios excesivos del agente.
Otro escenario cubre un agente de soporte que confía en un componente de programación de terceros. Las decisiones de autorización almacenadas en caché permiten que el componente comprometido alcance funciones sensibles de cuentas y se acerque a agentes que gestionan facturación.
Estos ejemplos muestran por qué los filtros a nivel de modelo no pueden sostener toda la defensa. Un filtro de modelo evalúa contenido o comportamiento dentro de la aplicación de IA. No revoca automáticamente credenciales, aísla una carga de trabajo, segmenta una red ni valida cada acción externa.
Los equipos de seguridad también enfrentan un problema de visibilidad. Los flujos de trabajo de agentes pueden incluir componentes de planificación, sistemas de recuperación, plugins, APIs y otros agentes. Una tarea puede activar una larga cadena de decisiones a través de varios servicios.
Los logs resultantes pueden estar fragmentados. Un operador podría ver una solicitud aprobada en una capa, una llamada a herramienta en otra y un cambio de datos en algún otro lugar. Conectar esos registros lleva tiempo, especialmente cuando el agente opera más rápido que el proceso de revisión.
El engaño ofrece una señal diferente. Una credencial plantada no tiene ningún propósito comercial legítimo. Un servidor señuelo no debería recibir tráfico autorizado. Por tanto, la interacción puede revelar reconocimiento hostil sin requerir que un analista reconstruya primero el razonamiento del agente.
Esa señal de alta confianza es el principal atractivo. Los centros de operaciones de seguridad ya reciben grandes volúmenes de anomalías. Un activo engañoso puede convertir un patrón ambiguo en un evento concreto porque el software normal nunca debería tocarlo.
Acalvio informó anteriormente resultados del ejercicio ANTX FY25 de la Marina de EE. UU. Su análisis de seguridad en tiempo de ejecución afirma que su tecnología de engaño produjo alertas con un 100 por ciento de verdaderos positivos y frustró el 80 por ciento de los objetivos de los atacantes durante pruebas de intrusión automatizadas basadas en credenciales.
Estas cifras se refieren a un ejercicio anterior y a la tecnología de engaño más amplia de Acalvio. No deben considerarse resultados de rendimiento para los Deception Guardrails recién anunciados.
Aun así, ilustran la estrategia de la empresa. Acalvio apuesta a que los atacantes a velocidad de máquina siguen dependiendo del descubrimiento, la identidad y la información del entorno. Estas dependencias crean lugares donde los defensores pueden introducir elecciones falsas.
El lanzamiento presiona a varios grupos a la vez. Los desarrolladores de agentes deben considerar qué sucede después de que un modelo acepta instrucciones maliciosas. Los equipos de identidad deben gobernar las cuentas no humanas. Los proveedores de seguridad deben observar flujos de trabajo que cruzan los límites entre modelo, aplicación, nube y red.
Los compradores empresariales afrontan la carga más amplia. Deben decidir si una capa de engaño en tiempo de ejecución reduce el riesgo lo suficiente como para justificar otro control de seguridad, mientras mantienen las defensas convencionales que el engaño no puede sustituir.
La verdadera disputa es la defensa del entorno frente a las guardrails solo de modelo
El argumento de Acalvio es que un modelo seguro no es lo mismo que un entorno operativo protegido.
Muchas guardrails de IA se centran en la información que entra o sale de un modelo. Pueden clasificar prompts, bloquear temas prohibidos, identificar datos sensibles o restringir la respuesta de un asistente.
Estos controles abordan problemas reales. Pueden reducir los jailbreaks directos, impedir algunas filtraciones de datos y aplicar políticas de aplicación. También operan cerca del modelo, donde los desarrolladores pueden inspeccionar los prompts y el texto generado.
Los sistemas agénticos amplían el perímetro. El modelo puede traducir una respuesta en una acción, y la acción puede modificar un sistema externo. Una respuesta que parece inofensiva puede iniciar una llamada peligrosa a una herramienta si el flujo de trabajo circundante concede autoridad excesiva.
Un agente comprometido también puede recibir instrucciones maliciosas de forma indirecta. Puede leerlas desde una página web, un documento, un correo electrónico, una respuesta de herramienta o una fuente de recuperación envenenada. Esta técnica se conoce comúnmente como inyección indirecta de prompts.
Una vez que el agente acepta la instrucción, un filtro de salida puede no ver nada inusual. El agente podría solicitar un archivo, llamar a una API permitida o usar un token existente. Cada operación individual puede parecer válida mientras el objetivo combinado sigue siendo hostil.
El enfoque ambiental de Acalvio intenta hacer observable ese objetivo hostil. En lugar de predecir cada prompt malicioso, los defensores crean rutas monitorizadas que es probable que explore un flujo de trabajo no autorizado.
Pensemos en un agente interno de investigación con acceso a unidades compartidas y un sistema de recuperación. Un atacante coloca una instrucción dentro de un documento que le indica al agente buscar credenciales en archivos de configuración.
Una credencial engañosa en la ubicación prevista podría revelar ese comportamiento. Si el agente intenta usarla contra un servicio señuelo, los defensores obtienen una segunda señal y pueden aislar la carga de trabajo.
El mismo patrón se aplica al descubrimiento de herramientas. Los agentes suelen seleccionar herramientas leyendo descripciones y esquemas. Un flujo de trabajo malicioso que busca capacidades privilegiadas podría encontrar una honey skill que parece útil, pero solo conduce a un endpoint monitorizado.
Los servidores MCP señuelo extienden la trampa a una capa de integración cada vez mayor. Si un agente se conecta a un servidor que ningún flujo de trabajo autorizado debería utilizar, el contacto indica una vulneración, una configuración gravemente errónea o una ruta de descubrimiento inesperada.
Los sistemas RAG señuelo apuntan a otro límite de confianza. RAG da a un modelo acceso a información externa en el momento de la consulta. Un repositorio falso puede detectar recuperaciones no autorizadas e impedir que el atacante llegue de inmediato a datos empresariales reales.
Esta arquitectura crea una disyuntiva. El engaño resulta más convincente cuando los artefactos se parecen a recursos valiosos y se sitúan cerca de flujos de trabajo reales. Esa misma proximidad eleva las exigencias de despliegue y mantenimiento.
Los equipos de seguridad deben impedir que la automatización legítima utilice los señuelos. Deben actualizar los activos engañosos a medida que cambian los entornos. También necesitan políticas de respuesta que distingan un ataque de una decisión defectuosa de selección de herramientas.
Un modelo puede interactuar con un activo engañoso por error. Los agentes son sistemas probabilísticos, lo que significa que la misma entrada puede producir decisiones diferentes. Descripciones deficientes de herramientas, deriva de configuración o reglas de enrutamiento incompletas pueden dirigir una tarea legítima hacia el servicio equivocado.
Esa posibilidad complica el planteamiento de Acalvio sobre la “alta confianza”. Una interacción indica de forma contundente que algo salió mal, pero no siempre demuestra una intención maliciosa. El evento puede revelar a un atacante, un agente desalineado o un defecto de ingeniería.
Esto sigue teniendo valor operativo. Los tres resultados merecen investigación cuando el activo fue diseñado para permanecer sin uso. Sin embargo, la gravedad de la respuesta debería depender de la identidad del agente, la acción solicitada y la evidencia circundante.
Las barreras de protección del entorno tampoco pueden detener un ataque que sigue únicamente rutas conocidas y legítimas. Un atacante que comprende el despliegue puede evitar la enumeración, ignorar credenciales sospechosas y atacar directamente una API real.
Por tanto, la contienda principal no es Acalvio frente a un producto rival concreto. Es la defensa del entorno frente a la suposición de que los controles del modelo pueden contener todo lo que hace un agente.
Acalvio presenta el engaño como una capa independiente que sigue siendo útil después de que falle la alineación. La interpretación más defendible es más limitada: el engaño añade observabilidad y oportunidades de interrupción, pero solo cuando el flujo de trabajo comprometido encuentra una señal implantada.
Las barreras de engaño aún necesitan identidad, segmentación y controles de acción
Los señuelos pueden revelar a un agente comprometido, pero no reducen la autoridad que hace peligrosa la vulneración.
Un agente no puede eliminar datos, transferir fondos ni modificar infraestructura sin una vía para realizar esas acciones. Las credenciales, los permisos y el acceso a herramientas determinan el daño que puede causar.
Esto convierte al principio de mínimo privilegio en el primer control, no en un detalle complementario. Cada agente debería recibir únicamente el acceso necesario para su tarea actual. Los permisos también deberían evaluarse cuando se ejecuta una herramienta, en lugar de hacerlo solo al inicio del flujo de trabajo.
Las credenciales de corta duración reducen el valor de los secretos robados. Las identidades diferenciadas facilitan la atribución de actividad. La segmentación de red limita el movimiento lateral cuando falla un componente.
La aprobación humana sigue siendo apropiada para acciones de alto impacto. Un sistema puede permitir que un agente prepare un pago o un cambio de infraestructura, al tiempo que exige que una persona autorice su ejecución.
Estos controles funcionan de forma distinta al engaño. La gobernanza de identidades limita lo que el agente puede alcanzar. Las comprobaciones de autorización restringen acciones individuales. La segmentación contiene el movimiento. El engaño intenta revelar una ruta no autorizada.
Las capas se fortalecen juntas. Una credencial engañosa puede señalar un intento de escalada de privilegios, mientras que el acceso de corta duración evita que la credencial real siga siendo útil. Un servicio señuelo puede revelar actividades de escaneo, mientras que la segmentación mantiene al escáner alejado de las redes sensibles.
La supervisión en tiempo de ejecución es otra capa necesaria. Los equipos necesitan registros de llamadas a herramientas, cambios de identidad, datos recuperados, decisiones de políticas y anulaciones humanas. Sin esos registros, una alerta de engaño puede identificar el primer síntoma visible, pero no la ruta que lo produjo.
La guía gubernamental sobre IA agéntica recomienda registros de auditoría unificados para los intercambios entre agentes. También pide identidades sólidas, mecanismos de reversión, privilegios controlados, supervisión y despliegue incremental.
Un estudio de 2026 sobre fallos operativos en agentes de programación aporta evidencia de informes de incidentes reales. Los investigadores categorizaron 547 incidentes y calificaron 326 como de gravedad alta o crítica. Las violaciones de restricciones, las acciones destructivas, las omisiones de autorización y el engaño figuraron entre los riesgos dominantes.
El estudio sobre agentes de programación concluyó que más del 65 por ciento de los incidentes surgieron durante la corrección de errores, la configuración inicial o la configuración. Los autores sostienen que las barreras de protección deben aplicar restricciones del entorno, transparencia y comportamientos de detención segura.
Esa investigación no evalúa el producto de Acalvio. Sí respalda la conclusión más amplia de que las defensas basadas únicamente en prompts dejan sin resolver riesgos operativos importantes.
Acalvio aún debe responder preguntas prácticas antes de que los compradores empresariales puedan evaluar la nueva capacidad.
Primero, ¿cómo mide el sistema la cobertura? Un equipo de seguridad necesita saber qué agentes, credenciales, registros de herramientas, repositorios RAG y conexiones MCP están protegidos. Una afirmación general de cobertura de espectro completo no sustituye un mapa a nivel de activos.
Segundo, ¿qué ocurre cuando un agente legítimo selecciona una herramienta engañosa? La plataforma necesita gravedad consciente del contexto, datos de investigación y opciones de contención. De lo contrario, las alertas de alta confianza aún pueden generar errores de respuesta de alto coste.
Tercero, ¿cómo mantiene Acalvio la credibilidad de los señuelos? Los artefactos estáticos se vuelven más fáciles de identificar a medida que los atacantes recopilan conocimiento del entorno. Un engaño convincente requiere gestión del ciclo de vida, variación y una ubicación que refleje la arquitectura real.
Cuarto, ¿qué impide que la propia barrera de protección se convierta en una nueva superficie de ataque? Los servidores MCP señuelo y las herramientas orientadas a agentes deben procesar solicitudes no confiables. Un aislamiento débil podría convertir un servicio defensivo en un punto de pivote.
Quinto, ¿con qué rapidez puede la plataforma contener a un agente tras detectarlo? Una alerta por sí sola no detiene un flujo de trabajo a velocidad de máquina. Las integraciones útiles deberían revocar credenciales, poner cargas de trabajo en cuarentena, bloquear sesiones o exigir una nueva autorización.
Los materiales de lanzamiento afirman que Deception Guardrails puede “neutralizar” amenazas antes de que pivoten hacia producción. Ese resultado no se ha demostrado de forma independiente en pruebas públicas del producto.
El papel más creíble a corto plazo es la detección temprana con interrupción dirigida. Las afirmaciones más firmes sobre prevención requieren evidencia en diversos marcos de agentes, técnicas de ataque y configuraciones empresariales.
Los compradores también deberían examinar si el producto observa agentes desarrollados en distintas plataformas. Los despliegues empresariales rara vez utilizan un único modelo, un único marco de orquestación o una única nube.
Una capa útil de tiempo de ejecución debería funcionar a través de esos límites sin depender de trazas privadas de razonamiento. La evidencia accionable existe en las capas de identidad, red, archivos, API y herramientas, donde las interacciones pueden registrarse y aplicarse.
Los equipos de seguridad deberían tratar Deception Guardrails como parte de una defensa en profundidad. No deberían utilizarlo para justificar permisos amplios para los agentes o prácticas de despliegue débiles.
El agente más seguro sigue empezando con autoridad limitada. El engaño adquiere valor cuando esa base falla, un atacante busca una ruta y el entorno puede exponer la búsqueda antes de que se extienda el daño.
Qué mostrará si el enfoque de Acalvio funciona
La próxima prueba no es si un señuelo puede atrapar a un agente en una demostración. Es si las empresas pueden operar el sistema a escala sin crear nuevos puntos ciegos.
La primera señal que conviene observar es la validación independiente del producto. Los compradores necesitan pruebas controladas que comparen Deception Guardrails frente a inyección directa de prompts, inyección indirecta, credenciales robadas, herramientas MCP maliciosas, fuentes RAG comprometidas y movimiento lateral.
Esas pruebas deberían separar la detección de la prevención. Deberían informar si la plataforma detectó la actividad, la retrasó, devolvió información falsa, bloqueó el acceso y contuvo al agente.
Los resultados también deberían incluir falsos positivos. Un sistema que detecta toda interacción maliciosa pero atrapa con frecuencia a agentes legítimos puede interrumpir los flujos de trabajo de producción y agotar a los equipos de seguridad.
Los resultados de ejercicios citados anteriormente por Acalvio ofrecen un contexto útil, pero no pueden validar un producto anunciado posteriormente. Las pruebas deberían cubrir los nuevos artefactos e integraciones específicos para agentes.
La segunda señal es la adopción en producción. Los relatos públicos de clientes deberían describir dónde colocaron honeytokens, cuántos agentes cubrieron y qué acciones de respuesta siguieron a una alerta.
Los estudios de caso se vuelven más informativos cuando incluyen fricción operativa. Los compradores necesitan conocer el tiempo de despliegue, los requisitos de mantenimiento, los volúmenes de alertas y la cantidad de trabajo de analistas necesaria para investigar una interacción.
Un despliegue empresarial amplio reforzaría la afirmación de Acalvio de que el engaño puede convertirse en un control estándar de tiempo de ejecución. Las pequeñas demostraciones limitadas a laboratorios respaldarían un caso de uso más acotado.
La tercera señal es cómo responden los competidores y los proveedores de plataformas. La seguridad de agentes ya incluye filtros de modelos, gobernanza de identidades, sandboxing, puertas de enlace de herramientas, análisis de aplicaciones y aplicación de políticas en tiempo de ejecución.
Si las principales plataformas de agentes añaden activos engañosos nativos o herramientas falsas monitorizadas, la tesis ambiental de Acalvio gana respaldo. Si los compradores optan en cambio por estandarizar puertas de enlace de autorización deterministas, el engaño puede seguir siendo una capa de detección especializada.
Estos enfoques no son mutuamente excluyentes. Una puerta de enlace puede bloquear una llamada no autorizada, mientras que un señuelo revela que el agente lo intentó. La cuestión de mercado es qué capa recibe presupuesto, propiedad operativa y prioridad de integración.
Los estándares darán forma a esa decisión. MCP facilita la conectividad de herramientas, pero también crea un lugar común para el descubrimiento, las políticas y la supervisión. Una mejor autenticación y autorización en esa capa puede reducir la exposición.
El engaño puede seguir siendo útil incluso a medida que mejoran los estándares. Los protocolos seguros no pueden impedir todas las identidades robadas, fuentes de datos envenenadas o instrucciones maliciosas. Sin embargo, pueden estrechar las rutas en las que las trampas deben operar.
El momento elegido por Acalvio tiene sentido. Las empresas están trasladando agentes de los experimentos a flujos de trabajo que implican datos de clientes, código, documentos internos y servicios en la nube. El comportamiento en tiempo de ejecución se vuelve más importante a medida que esos sistemas adquieren autoridad.
La empresa también cuenta con una plataforma de engaño consolidada que puede ampliar. Eso le aporta experiencia con honeytokens, señuelos, sistemas de identidad e integraciones de operaciones de seguridad. No elimina la necesidad de demostrar la implementación específica para agentes.
Para los desarrolladores, el lanzamiento recuerda la necesidad de documentar cada límite de confianza. El modelo, los prompts, las herramientas, las identidades, los repositorios de datos y los servicios externos de un agente requieren controles separados.
Para los compradores empresariales, la pregunta relevante no es si el engaño cibernético suena convincente. Es si Acalvio puede demostrar una cobertura fiable en los agentes y sistemas exactos que opera la organización.
Para los equipos de seguridad, Deception Guardrails ofrece un nuevo lugar donde buscar intención. Un agente que interactúa con una credencial falsa o una herramienta señuelo crea evidencia que la detección ordinaria de anomalías podría pasar por alto.
La limitación es igual de importante. La ausencia de una alerta de engaño no establece que un agente sea seguro. El flujo de trabajo puede estar comprometido sin interactuar con un activo implantado.
Las organizaciones que evalúen Acalvio deberían realizar pruebas adversariales contra su propia arquitectura. Deberían medir el tiempo hasta la detección, el tiempo hasta la contención, las interacciones de agentes legítimos y el porcentaje de rutas de ataque que encuentran engaño.
También deberían ensayar la respuesta. Cuando se activa una medida de protección, los equipos necesitan decidir de inmediato si revocar credenciales, aislar al agente, detener las herramientas posteriores o preservar la sesión para investigarla.
Esa preparación determina si una alerta se convierte en una defensa o simplemente en otro registro de un ataque ya en marcha.
Acalvio ha identificado una brecha real entre controlar el contenido del modelo y proteger el comportamiento de los agentes. Su respuesta es hacer que el entorno sea menos confiable para un agente comprometido.
La idea merece atención porque acepta una premisa incómoda: algunos agentes serán manipulados pese a sus salvaguardas integradas. El producto aún necesita evidencia independiente que demuestre con qué frecuencia sus trampas aparecen en la ruta del atacante.
A medida que los agentes de IA reciben más acceso, los responsables de seguridad deberían plantearse una pregunta concreta. Si mañana un agente de confianza se vuelve hostil, ¿qué controles limitarán su autoridad, revelarán sus movimientos y detendrán su próxima acción?
