El red teaming de SK Shieldus AI pasa de las pruebas de modelos a las acciones de agentes
El red teaming de SK Shieldus AI se ha expandido más allá de las salvaguardas de modelos hacia el comportamiento de agentes, los sistemas médicos, los datos conectados y los servicios externos. Este alcance más amplio importa porque los agentes pueden actuar, no limitarse a generar texto inseguro.
La empresa afirma que su grupo de hackers éticos, EQST, está desarrollando escenarios de ataque para sistemas que combinan modelos con aplicaciones, información privada y herramientas operativas. El equipo también está aplicando sus métodos a la IA médica, donde una decisión manipulada puede afectar la seguridad de los pacientes.
Esto es más que otra historia sobre una competición de hacking. Microsoft, OWASP e investigadores de seguridad ya han demostrado que la inyección de prompts puede sobrevivir a las defensas modernas. SK Shieldus intenta ahora convertir la experiencia en competiciones en pruebas empresariales repetibles.
Este cambio ejerce presión tanto sobre los proveedores de seguridad como sobre los compradores corporativos. Las pruebas de penetración tradicionales examinan los límites del software, los permisos y las clases de vulnerabilidades conocidas. Las pruebas de agentes también deben analizar si una IA sigue instrucciones hostiles ocultas dentro de información que estaba autorizada a leer.
Qué cambió SK Shieldus en el red teaming de IA
SK Shieldus está ampliando el objetivo desde un modelo de IA aislado hasta el entorno completo en el que un agente toma decisiones y ejecuta acciones.
La empresa dio a conocer esta ampliación a través de su grupo de hackers éticos EQST el 18 de septiembre de 2026. Según el informe inicial sobre seguridad de IA, EQST se dirige a modelos, datos conectados, aplicaciones, servicios externos y entornos de agentes.
Este alcance refleja la estructura de los agentes empresariales. Por lo general, un modelo proporciona la capa de razonamiento, mientras que el software circundante le da acceso a archivos, mensajes, bases de datos y aplicaciones de negocio.
Los atacantes no necesitan derrotar cada componente. Necesitan una entrada de confianza que altere el comportamiento del agente o un permiso excesivo que convierta un error en una acción.
La inyección de prompts es fundamental en este problema. Consiste en introducir instrucciones maliciosas dentro de material que procesa un sistema de IA, como un correo electrónico, una página web, una imagen o un documento.
Un ataque indirecto no requiere que un usuario escriba el comando hostil. El agente recupera el contenido durante una tarea normal y puede confundir el texto incrustado con una instrucción legítima.
EQST afirma que utiliza una colección propia de escenarios de ataque y una metodología interna de pruebas. El objetivo es revelar riesgos de seguridad que una organización podría tener dificultades para identificar mediante una revisión interna.
El equipo también contribuyó a una guía de red teaming de seguridad de IA publicada por el Ministerio de Ciencia y TIC de Corea del Sur y la Agencia de Internet y Seguridad de Corea. La guía del 7 de julio abarca preparación, ejecución, organización del equipo y elaboración de informes.
Este enfoque en el proceso es importante. Un jailbreak ingenioso puede atraer atención, pero una evaluación empresarial requiere objetivos definidos, evidencia, clasificaciones de gravedad, recomendaciones de remediación y una repetición de pruebas fiable.
La expansión también se conecta con el tratamiento más amplio que SK Shieldus da a los agentes de IA como identidades no humanas. Se trata de actores de software que necesitan identidades y permisos controlados porque interactúan con sistemas corporativos.
En agosto, la empresa dijo que estaba extendiendo las prácticas de confianza cero a los agentes. Su enfoque trata cada solicitud de un agente como algo que requiere verificación de identidad, autorización limitada y evaluación continua.
Esta expansión de confianza cero complementa el red teaming. Los controles de identidad limitan aquello a lo que un agente puede acceder, mientras que las pruebas adversariales examinan cómo fallan esos controles bajo presión.
Ningún componente es suficiente por sí solo. Un agente con razonamiento sólido pero acceso excesivo sigue siendo peligroso. Un agente sometido a fuertes restricciones aún puede exponer datos o producir recomendaciones dañinas dentro de su entorno permitido.
Por tanto, el cambio destacable no es una única técnica de ataque. Es la decisión de probar toda la cadena entre una entrada no confiable y una acción con consecuencias.
Esa cadena puede incluir sistemas de recuperación, selección de herramientas, autenticación, memoria, pantallas de aprobación, registros y aplicaciones posteriores. Cada conexión crea otro punto donde la intención puede perderse o la autoridad puede aplicarse de forma incorrecta.
Para los compradores, la seguridad de agentes de SK Shieldus implica ahora una promesa más amplia. EQST no solo prueba si un modelo rechaza solicitudes prohibidas. Prueba si los agentes desplegados se comportan de forma segura cuando sus entradas habituales se vuelven hostiles.
Los agentes de IA convierten fallos del modelo en acciones de negocio
El problema central de seguridad es una autonomía excesiva: un resultado manipulado se vuelve peligroso cuando el software tiene permisos suficientes para actuar sobre él.
Un chatbot podría responder a un prompt hostil con texto inexacto o restringido. Un agente puede utilizar esa misma respuesta manipulada para enviar un mensaje, divulgar un archivo, modificar un registro o llamar a otro servicio.
OWASP define la autonomía excesiva en torno a tres fallos de diseño comunes: funcionalidad excesiva, permisos excesivos y autonomía excesiva. Su guía sobre el riesgo de autonomía describe cómo la inyección de prompts puede desencadenar acciones perjudiciales mediante herramientas con privilegios excesivos.
Consideremos un asistente de correo electrónico que necesita resumir un buzón. El acceso de lectura respalda ese propósito. El permiso para enviar mensajes añade otra capacidad que quizá no sea necesaria.
Un correo malicioso puede contener instrucciones que dirigen al asistente a buscar otros mensajes y reenviar material sensible. El agente puede encontrarse con esas instrucciones mientras realiza una tarea de recuperación autorizada.
La debilidad abarca varias capas. El modelo no logra distinguir los datos de los comandos, la aplicación expone una herramienta de envío y la identidad tiene permiso para utilizarla.
Un benchmark centrado solo en el modelo captura únicamente el primer fallo. El red teaming de SK Shieldus AI debe reproducir toda la ruta si quiere medir el riesgo operativo.
Microsoft proporcionó un ejemplo concreto mediante su competición LLMail-Inject. El servicio simulado podía leer correos electrónicos y actuar en nombre de un usuario, incluido el envío de mensajes.
Los atacantes intentaron introducir instrucciones dentro de correos que el servicio recuperaría. Su objetivo era hacer que el asistente realizara una acción que el usuario nunca solicitó.
La competición incluía defensas como clasificadores de entrada, análisis de activación, evaluación basada en modelos y jerarquía de instrucciones. Los participantes aún adaptaron sus ataques a distintos escenarios y modelos.
Microsoft registró 621 participantes, 224 equipos y 370.724 envíos en el primer desafío. Los resultados de la inyección de prompts ilustran por qué una única evaluación satisfactoria no puede resolver el problema.
Los defensores cambian filtros, prompts y modelos. Los atacantes luego alteran la redacción, la ubicación, la codificación, el idioma o el contexto. La seguridad de los agentes se convierte en una competencia continua, no en una certificación puntual.
Por eso los datos conectados también merecen un escrutinio separado. Los agentes empresariales ingieren material procedente de fuentes en las que los empleados ya confían, incluidas unidades compartidas, tickets de clientes, wikis internas y herramientas de colaboración.
Una carga maliciosa puede entrar a través de cualquier colaborador o cuenta comprometida con permiso para editar ese contenido. El agente puede recuperarla más tarde sin reconocer el cambio como un ataque.
Las entradas multimodales añaden otra vía. Las instrucciones hostiles pueden aparecer dentro de una imagen, un clip de audio o un video, en lugar de texto sin formato.
En junio, el investigador de EQST Byunghyun Kim ganó la competición de red team de IA Judgement Day tras utilizar inyección multimodal de prompts contra escenarios de la industria. SK Shieldus afirmó que los ataques incluían texto oculto y registros falsificados con apariencia de sistema.
La competición abarcó ocho escenarios, incluidos entornos médicos, de aviación y de respuesta ante desastres. Según la divulgación de la competición de la empresa, otros dos investigadores de EQST quedaron en quinto y séptimo lugar.
Estos resultados demuestran experiencia práctica en el diseño de ataques. No establecen que EQST pueda prevenir todos los ataques similares dentro del entorno de un cliente.
La distinción importa porque una competición presenta reglas conocidas, objetivos medibles y un entorno de prueba aislado. Un despliegue corporativo incluye integraciones cambiantes, datos inconsistentes, permisos heredados y empleados con distintos hábitos de aprobación.
Un encargo empresarial debe traducir el éxito de los ataques en cambios de diseño. Las recomendaciones útiles podrían incluir ámbitos de solo lectura, herramientas acotadas, validación determinista, aprobaciones independientes y límites para acciones repetidas.
También debe examinar la interfaz de aprobación. Un paso de confirmación humana ofrece protección limitada cuando el agente redacta la descripción que revisa la persona.
Los atacantes pueden manipular esa descripción u ocultar la relevancia de una operación. Entonces, el operador aprueba una acción peligrosa creyendo que responde a la solicitud original.
Por tanto, el objetivo de seguridad no consiste únicamente en el cumplimiento del modelo. Es la ejecución fiel de la intención del usuario en cada límite que cruza el agente.
El historial en competiciones genera credibilidad, no pruebas
Los resultados de EQST en competiciones acreditan a un equipo de ataque competente, pero los compradores aún necesitan evidencia de que esas capacidades produzcan mejoras repetibles en sistemas desplegados.
El grupo ha acumulado resultados en varias formas de pruebas de IA y seguridad convencional. Esa amplitud brinda a SK Shieldus una base creíble para ampliar su red team de IA.
Según el relato de la empresa, EQST obtuvo el segundo lugar en el desafío Re:LLMail-Inject de Microsoft en agosto de 2025. El concurso se centró en la inyección indirecta adaptativa de prompts contra un agente basado en correo electrónico.
En junio de 2026, Byunghyun Kim obtuvo el primer lugar en Judgement Day. La competición duró unas ocho semanas y probó ataques contra sistemas de IA en escenarios industriales de alto riesgo.
En agosto, EQST quedó en quinto lugar en HalCTF, un evento de hacking de agentes de IA celebrado en AI Village durante DEF CON 34. Más de 200 equipos participaron, según el informe de septiembre.
El equipo también recibió un premio principal, un premio a la excelencia y un premio especial en un desafío de red team de IA médica celebrado a principios de septiembre. Ese evento examinó la seguridad de los pacientes, la ciberseguridad, la privacidad, la equidad, la ética y la seguridad de los agentes.
Estos resultados abarcan categorías útiles. Los agentes de correo electrónico revelan la inyección indirecta de prompts. Los sistemas multimodales prueban instrucciones ocultas más allá del texto ordinario. Los escenarios médicos vinculan el comportamiento del modelo con decisiones sensibles para la seguridad.
Sin embargo, las clasificaciones miden el rendimiento bajo condiciones de competición. Rara vez responden a las preguntas que un responsable de seguridad de la información necesita resolver antes de un despliegue.
¿Cuántos hallazgos críticos descubrió un equipo en una aplicación similar a producción? ¿Qué hallazgos se reprodujeron de forma fiable? ¿Con qué rapidez los ingenieros los corrigieron?
¿La corrección detuvo variantes de ataque relacionadas o solo la carga útil enviada? ¿El sistema preservó una funcionalidad útil tras introducir controles más estrictos?
Los falsos positivos también importan. Una defensa que bloquea documentos normales, mensajes de clientes o llamadas legítimas a herramientas puede hacer que un agente sea inutilizable.
Los falsos negativos importan más cuando el sistema maneja información sensible o acciones irreversibles. Los compradores necesitan mediciones para ambos casos, en lugar de una afirmación general de que un agente superó el red teaming.
El perfil de riesgo de IA generativa de NIST recomienda pruebas adversariales para la inyección de prompts, el envenenamiento de datos, la extracción de modelos y otros ataques. También exige métricas que cubran omisiones de controles, accesos no autorizados, intentos de penetración y remediación.
El perfil de riesgo de NIST presenta el red teaming como una parte de la gestión continua de riesgos. No plantea una prueba exitosa como una garantía permanente.
Esto plantea el principal desafío para el red teaming de IA de SK Shieldus. EQST debe convertir la habilidad individual de los atacantes en un servicio que ofrezca evidencia comparable entre clientes, sectores y arquitecturas de agentes.
Una evaluación madura debería comenzar con un inventario de agentes. Los evaluadores necesitan saber qué identidades, herramientas, conjuntos de datos, almacenes de memoria, modelos y servicios externos intervienen en cada flujo de trabajo.
Después, el equipo necesita escenarios de amenaza vinculados a resultados de negocio. Extraer una cadena de prueba inocua es distinto de exponer datos de pacientes, modificar un registro de pago o cambiar una configuración de producción.
Los evaluadores deberían registrar toda la ruta de ataque. Esto incluye la entrada maliciosa, el evento de recuperación, la decisión del modelo, la llamada a una herramienta, la comprobación de permisos, el paso de aprobación y el resultado final.
La remediación debe abordar la ruta, no el prompt. Bloquear una frase específica ofrece poca protección si un atacante puede parafrasearla o trasladarla a otro formato de datos.
Una solución más sólida podría reducir permisos, separar instrucciones de confianza del contenido no confiable, validar argumentos de herramientas o exigir que un sistema independiente apruebe una acción de alto riesgo.
Las pruebas posteriores necesitan nuevas variantes de ataque. De lo contrario, la evaluación solo confirma que los desarrolladores bloquearon el ejemplo conocido.
SK Shieldus no ha proporcionado públicamente métricas detalladas de resultados empresariales para este servicio ampliado. El anuncio de septiembre no especifica tasas de detección, resultados de reevaluaciones, volumen de encargos ni tiempos de remediación de clientes.
Esta ausencia no invalida la capacidad. Limita lo que los compradores pueden inferir de los premios y las declaraciones de la empresa.
El siguiente paso más convincente sería contar con evidencia anonimizada de evaluaciones reales. Las divulgaciones útiles mostrarían categorías de ataque, capas afectadas, gravedad, patrones de remediación y recurrencia tras las correcciones.
Hasta entonces, el historial de EQST debe interpretarse como evidencia de experiencia ofensiva. Aún no constituye una prueba pública de reducción consistente del riesgo en implementaciones empresariales.
La IA médica eleva el coste de un fallo
La IA médica hace más difícil el red teaming de agentes porque la seguridad, la privacidad, la seguridad clínica y la supervisión humana pueden fallar dentro del mismo flujo de trabajo.
Un asistente médico puede resumir información de pacientes, recuperar referencias clínicas, programar atención o recomendar una siguiente acción. Cada tarea puede involucrar datos sensibles y decisiones dependientes del tiempo.
El riesgo cambia de nuevo cuando una IA se convierte en agente. Puede conectarse a historiales, fuentes externas de conocimiento, sistemas de comunicación o dispositivos médicos, en lugar de limitarse a generar una respuesta.
Una instrucción inyectada podría distorsionar qué evidencia recupera el agente. También podría influir en una recomendación, exponer información personal o dirigir una herramienta más allá de su tarea prevista.
Un filtro de seguridad en el modelo subyacente no puede inspeccionar todas las consecuencias posteriores. La aplicación circundante debe imponer límites de acceso, validar resultados y preservar decisiones humanas responsables.
El desafío 2026 Advanced AI Digital Medical Products Red Team Challenge refleja ese problema más amplio. Los participantes probaron formas de eludir salvaguardas relacionadas con la seguridad del paciente, privacidad, equidad, ética, ciberseguridad y seguridad de agentes.
Los premios de EQST sugieren que el equipo puede trabajar en esas categorías. SK Shieldus afirma que esta experiencia le está ayudando a extender el red teaming de IA a entornos médicos.
Sin embargo, un desafío sigue siendo distinto de un programa de validación clínica. Los sistemas médicos operan bajo flujos de trabajo específicos, poblaciones de pacientes, restricciones de datos y responsabilidades profesionales.
Un equipo rojo puede identificar una ruta de ataque. No puede, por sí solo, determinar la eficacia clínica, el riesgo residual aceptable o la asignación adecuada de responsabilidades entre el software y los profesionales clínicos.
Esta limitación debe dar forma al diseño del servicio. Los hallazgos de seguridad deben conectarse con la ingeniería de seguridad, la revisión de privacidad, la gobernanza de producto y la supervisión posterior al despliegue.
Por ejemplo, un agente podría recuperar un documento incorrecto tras encontrar metadatos manipulados. El problema inmediato parece ser la integridad de la recuperación.
El impacto clínico depende de lo que suceda después. Un asistente de bajo riesgo puede mostrar una fuente para revisión humana. Un sistema más autónomo podría usar el documento para priorizar a un paciente o recomendar una intervención.
Por tanto, la misma debilidad técnica presenta distinta gravedad según el despliegue. Los informes de equipos rojos deben tener en cuenta los permisos reales, la autoridad de decisión y las oportunidades de corrección humana.
Las pruebas médicas también necesitan casos límite representativos. Un sistema puede comportarse de forma segura con lenguaje ordinario, pero fallar cuando los historiales contienen abreviaturas, notas contradictorias, anotaciones de imágenes o texto externo copiado.
Los atacantes pueden explotar esas ambigüedades. También pueden imitar formatos de confianza, declaraciones de autoridad, avisos del sistema o instrucciones clínicas.
El resultado de Judgement Day ofrece una pista relevante. Según se informa, EQST aumentó el éxito de los ataques al crear entradas que se parecían a registros del sistema y al atacar excepciones ausentes del prompt del sistema.
Ese método ataca señales de confianza, no solo palabras prohibidas. Prueba si la IA puede distinguir el origen y la autoridad de la información dentro de un contexto complejo.
Un historial médico contiene muchas señales de este tipo. Las notas proceden de distintos profesionales, sistemas, momentos y niveles de certeza. Un agente no debe tratar cada cadena como una instrucción con la misma autoridad.
El problema también revela una disyuntiva. Añadir contexto amplio puede mejorar la utilidad del agente, pero cada nueva fuente amplía la superficie de entrada no confiable.
Conceder más herramientas puede reducir el trabajo administrativo, pero cada herramienta añade acciones posibles. Una mayor autonomía puede acortar un flujo de trabajo a la vez que reduce el tiempo disponible para la revisión.
Las organizaciones no pueden resolver estas tensiones mediante un prompt universal. Necesitan controles arquitectónicos alineados con las consecuencias de cada acción.
La recuperación de bajo riesgo puede realizarse automáticamente con registro. La divulgación de datos sensibles puede requerir validación de políticas. Un cambio clínico u operativo puede necesitar aprobación humana independiente.
La interfaz de usuario debe mostrar claramente la acción prevista, el registro afectado, la fuente de información y el permiso utilizado. No debe depender únicamente de un resumen generado por el agente.
La IA médica ofrece a SK Shieldus un exigente campo de prueba. El éxito demostraría que EQST puede conectar vulnerabilidades técnicas con controles operativos críticos para la seguridad.
El fracaso expondría la debilidad de tratar el red teaming de IA como una prueba de penetración ampliada. La seguridad de los agentes necesita una visión más amplia de la calidad de las decisiones, la autoridad y la responsabilidad humana.
La verdadera prueba es la repetibilidad empresarial
SK Shieldus debe demostrar que su equipo rojo de IA puede producir hallazgos consistentes incluso mientras los modelos, herramientas, fuentes de datos y permisos siguen cambiando.
Las pruebas de aplicaciones tradicionales suelen partir de una versión relativamente estable. Un agente puede cambiar su comportamiento tras una actualización del modelo, una revisión del prompt, un cambio de conector o un ajuste de permisos.
Una nueva fuente documental puede introducir contenido malicioso. Una nueva herramienta puede aumentar el impacto de una debilidad existente del modelo. Un flujo de aprobación revisado puede crear una nueva ruta para eludir la supervisión humana.
Esta volatilidad hace que las pruebas anuales sean insuficientes para despliegues importantes. Las organizaciones necesitan evaluaciones antes del lanzamiento, después de cambios materiales y durante las operaciones en curso.
Los ataques automatizados pueden ayudar a ampliar la cobertura. Pueden generar variantes de prompts, probar varios contextos y repetir escenarios entre modelos.
La automatización también tiene límites. Tiende a optimizarse frente a objetivos medibles y puede pasar por alto supuestos organizativos que un atacante humano cuestionaría.
Los especialistas humanos pueden identificar esos supuestos. Podrían advertir que un agente de solo lectura aún puede crear una recomendación perjudicial o que una pantalla de aprobación oculta los argumentos reales de una herramienta.
El servicio más sólido combinará ambos enfoques. Las comprobaciones automatizadas aportan frecuencia y cobertura de regresión, mientras que los equipos rojos humanos exploran rutas de ataque inesperadas.
La base de datos de escenarios de SK Shieldus podría respaldar ese modelo. Los ataques reutilizables pueden convertirse en pruebas de regresión después de que los investigadores los validen frente a un sistema real.
Sin embargo, la biblioteca debe evolucionar. Los ejemplos públicos se convierten rápidamente en datos de entrenamiento para los defensores, mientras los atacantes cambian la codificación, el contexto, el idioma y el formato de entrega.
La investigación de Microsoft ilustra este ciclo. Su competición actualizada añadió una lista de bloqueo de alta precisión, saneamiento, clasificadores más sólidos e instrucciones revisadas tras la primera ronda.
Después, los investigadores tuvieron otra oportunidad de adaptarse. Ese proceso refleja la seguridad empresarial real, donde la mitigación de ayer se convierte en el objetivo de prueba de mañana.
La repetibilidad también depende de los informes. Dos evaluadores deberían aplicar criterios de gravedad comparables, incluso cuando difiera su creatividad en los ataques.
Los informes deberían separar las vulnerabilidades del modelo de los fallos de la aplicación. También deberían identificar debilidades en identidad, diseño de permisos, procedencia de datos, herramientas e interfaces de usuario.
Una sola etiqueta como “inyección de prompts” oculta demasiado. Un ataque puede revelar texto no deseado, mientras que otro puede activar un pago o exponer un repositorio documental completo.
La gravedad debe reflejar los datos accesibles, las acciones disponibles, el acceso requerido para el atacante, la participación del usuario, la detectabilidad, la reversibilidad y la consecuencia para el negocio.
Las organizaciones también necesitan evidencia de que las correcciones reducen el riesgo sin destruir el valor del agente. Un control que desactive todos los documentos externos puede detener la inyección, pero inutilizar el flujo de trabajo.
Ahí es donde la participación del comprador se vuelve esencial. Los equipos de seguridad definen el riesgo aceptable, pero los responsables de producto entienden la tarea que el agente aún debe completar.
Los desarrolladores saben dónde las comprobaciones deterministas pueden reemplazar el juicio del modelo. Los equipos de identidad pueden restringir ámbitos, mientras que los equipos de cumplimiento aclaran las obligaciones de registro y retención.
Los trabajadores del conocimiento también influyen en la exposición. Deciden qué documentos entran en los sistemas compartidos y si la salida de un agente recibe una revisión significativa.
Los límites claros de la información pueden reducir el peligro. Los equipos deberían identificar instrucciones de confianza, contenido no confiable, fuentes sensibles y acciones que requieren autorización independiente.
Una base de conocimiento con capacidad de búsqueda puede mejorar la gestión del contexto, pero la recuperación por sí sola no establece confianza. La procedencia y los permisos siguen determinando cómo deben usar los agentes el material.
Las organizaciones deberían evitar convertir los hallazgos de los equipos rojos en incidencias aisladas. Los resultados deben actualizar los estándares de arquitectura, las políticas de conectores, las reglas de aprobación y las suites de regresión.
La seguridad de agentes de SK Shieldus será más creíble cuando los clientes puedan comparar resultados a lo largo del tiempo. Un programa útil debería mostrar si las rutas críticas se reducen después de cada ciclo de pruebas.
La empresa también podría publicar una taxonomía anonimizada vinculada a arquitecturas comunes de agentes. Eso ayudaría a los compradores a entender si la cobertura de sus escenarios coincide con sus propios despliegues.
La validación independiente reforzaría aún más el argumento. Los referentes externos, métodos revisados por pares o criterios de evaluación transparentes pueden distinguir una capacidad repetible del lenguaje de marketing.
La tensión central sigue siendo sencilla. Los agentes se vuelven más útiles cuando reciben contexto y autoridad, pero esas mismas características aumentan las consecuencias de la manipulación.
La red teaming de SK Shieldus AI apunta precisamente a esa tensión. Su valor a largo plazo dependerá de si EQST puede medirla de forma consistente y orientar a los clientes hacia diseños más seguros.
Qué deberían vigilar los compradores a continuación
Tres señales mostrarán si SK Shieldus ha creado una disciplina empresarial o si simplemente ha extendido la narrativa de una competición exitosa.
La primera señal es una metodología publicada. Los compradores deberían buscar una descripción clara de cómo EQST delimita los agentes, mapea las superficies de ataque, prioriza los hallazgos y realiza las pruebas de verificación.
Una metodología útil debería cubrir el modelo, la capa de recuperación, la memoria, la identidad, los permisos, las herramientas, las fuentes de datos y las interfaces de aprobación. También debería distinguir los ataques directos de la inyección indirecta de prompts.
Si SK Shieldus publica criterios reproducibles, su expansión será más fácil de evaluar en distintos sectores. Si el proceso sigue siendo opaco, los clientes tendrán que evaluar la capacidad servicio por servicio.
La segunda señal es la evidencia procedente de sistemas desplegados. Los estudios de caso anonimizados deberían informar qué rutas de ataque aparecieron, cómo las corrigieron los clientes y si las variantes tuvieron éxito después de la remediación.
La evidencia más sólida incluiría tasas de detección, falsos positivos, hallazgos críticos, resultados de las nuevas pruebas y tiempo de remediación. Debería evitar presentar una prueba limpia como evidencia de seguridad permanente.
La evidencia de clientes reforzaría la afirmación central de la empresa. Un enfoque continuado en clasificaciones y premios dejaría incierto el impacto operativo.
La tercera señal es la integración entre las pruebas y la gobernanza de agentes. SK Shieldus ya ha vinculado los agentes con controles de identidad no humana y confianza cero.
Los compradores deberían observar si los hallazgos del red team alimentan automáticamente los permisos, la monitorización, las políticas de conectores y los requisitos de aprobación. Ese ciclo de retroalimentación convertiría los ataques en controles duraderos.
La señal se debilita si el red teaming sigue siendo un ejercicio de consultoría independiente. Los informes suelen perder valor cuando sus recomendaciones nunca llegan a los sistemas de identidad, los estándares de ingeniería o las puertas de despliegue.
La actividad de los competidores también importará, pero debería seguir siendo contexto de apoyo. Microsoft y la comunidad de seguridad en general continúan desarrollando defensas, benchmarks y patrones de diseño para la inyección indirecta de prompts.
Estos esfuerzos elevan las expectativas para todos los proveedores. Afirmar experiencia en inyección de prompts ya no basta cuando la investigación pública documenta ataques adaptativos contra defensas por capas.
Los compradores empresariales deberían plantear un conjunto directo de preguntas antes de encargar una prueba. ¿Qué flujos de trabajo completos atacará el equipo y qué acciones relevantes se encuentran al final de cada ruta?
Deberían preguntar si los evaluadores pueden examinar el código de la aplicación, los prompts, las definiciones de herramientas, los ámbitos de acceso y los registros. Las pruebas de caja negra ofrecen una perspectiva, pero el acceso interno puede revelar errores de diseño más profundos.
Deberían solicitar nuevas pruebas con variantes de ataque después de la remediación. También deberían exigir evidencia de que los nuevos controles preservan las tareas legítimas.
Por último, deberían identificar quién asume el riesgo no resuelto. El red team puede exponer un fallo, pero los líderes empresariales deben decidir si reducen permisos, añaden revisión, rediseñan el flujo de trabajo o retrasan el despliegue.
SK Shieldus ha reunido un historial ofensivo creíble y ha elegido un objetivo importante. Los agentes de IA crean un problema de seguridad que abarca modelos, software, identidades, datos y decisiones humanas.
La siguiente etapa es más difícil que ganar un concurso. EQST debe demostrar que la red teaming de SK Shieldus AI genera evidencia reproducible y un comportamiento empresarial más seguro.
Para los equipos que despliegan agentes ahora, la cuestión práctica no es si un modelo puede ser engañado. Las competiciones públicas ya han respondido esa pregunta.
La decisión es si cada agente tiene suficiente autoridad para convertir la manipulación en daño. Trace esa ruta, restrinja el acceso innecesario y pruebe el flujo de trabajo completo antes de confiar al agente tareas de consecuencias importantes.
