Cuando los controles correctos igual filtran: qué enseña CONTINUITY sobre la seguridad de agentes de IA

Puedes reunir un rastreador de procedencia, una capa de autorización, un motor de políticas, adaptadores de protocolo y guardas de ejecución —cada uno correcto por separado— y aun así entregar un sistema que permite a un agente de IA hacer algo que nunca fue autorizado. Ese es el hallazgo incómodo del marco de investigación CONTINUITY, y explica por qué "tenemos todos los controles" no significa "estamos seguros".

El fallo se esconde en las costuras

La acción de un agente no ocurre en un solo lugar. Viaja: llega una instrucción, se etiqueta su procedencia, se comprueba la autorización, se aplica una política, un adaptador la traduce y por fin algo se ejecuta en el mundo real. En cada frontera entre componentes, el contexto de seguridad crítico —el quién y el porqué de la acción— puede perderse o corromperse. Los autores lo llaman discontinuidad del contexto de seguridad.

Cada control puede aprobar sus propias pruebas de forma aislada. La vulnerabilidad no vive dentro de ninguna caja, sino en el espacio entre ellas.

Cuatro formas de romper el contexto

• Descartado: el quién y el porqué desaparecen, y un componente posterior aprueba a ciegas.
• Ampliado: un permiso de alcance estrecho se trata como si fuera más amplio.
• Reasignado: la acción se vuelve a vincular a un objetivo distinto del autorizado.
• Reinterpretado: el significado de la petición cambia al traducirse entre capas.

La solución: un contexto que viaja con la acción

CONTINUITY trata la composición como un problema de primera clase. Modela cada componente con un contrato de tipo asume-garantiza y transporta un contexto de seguridad autenticado en cada transición, mediante concesiones raíz firmadas, compromisos de procedencia, recibos de transición ligados al rol y permisos de ejecución atados al efecto. La propiedad que garantiza es la integridad de consecuencia: ningún efecto externo real ocurre sin una cadena de autorización completa, verificable y vigente detrás.

Los números importan

Sobre 2.560 instancias de ataque parametrizadas en 128 clases de fallo, la configuración completa no cometió ningún efecto externo dañino, completó las 700 tareas benignas y escaló los 200 casos ambiguos a un humano en vez de adivinar. Un control que bloquea todo es inútil; este dejó pasar el trabajo real.

Qué llevarse como líder de seguridad

No hace falta implementar CONTINUITY para usar su lección: deja de evaluar los controles por separado y sigue el camino completo desde la instrucción hasta el efecto. Antes de conectar un agente a tus sistemas, mide el riesgo del modelo con el escáner de riesgo de modelos y gobierna cada conector con la verificación de riesgo de servidores MCP. Un montón de controles correctos no es un sistema seguro: la seguridad vive en los contratos entre ellos.