Los agentes de IA aún no están listos para gestionar infraestructura
ИИ-агентыкритическая инфраструктуракибербезопасность
La capacidad del modelo no es la cuestión principal
No pondría la capacidad del modelo en primer lugar. En noviembre de 2026, la barrera para los agentes de IA en energía, suministro de agua y ferrocarril es ante todo un problema de ingeniería: cómo demostrar la seguridad de cada acción. El proyecto Cyber AI Profile de NIST vincula la gestión de riesgos de IA con prácticas de TI, TO, sistemas de control industrial y ciberseguridad.
Aquí es donde la situación se vuelve incómoda. Un agente con acceso a un sistema de despacho no recibe simplemente una herramienta nueva: obtiene una nueva vía hacia un proceso físico. La inyección de prompts, la telemetría manipulada, un sensor comprometido o una instrucción maliciosa para una herramienta pueden convertir una respuesta plausible en una orden peligrosa.
La alucinación es solo una clase de fallo. También existen datos desactualizados o contradictorios, pérdida de sensores, modos de operación poco frecuentes, plazos de respuesta estrictos y cambios de comportamiento del modelo tras una actualización. Un benchmark convencional de modelos de lenguaje no demuestra que el sistema actúe correctamente durante una emergencia o un ataque.
Por eso la arquitectura sensata sigue siendo aburrida, y eso es un elogio. El agente actúa como asesor, mientras una lógica de seguridad determinista verifica si las órdenes son admisibles. El acceso a herramientas se limita mediante listas permitidas y privilegios mínimos, las redes se segmentan y un operador cualificado confirma las acciones críticas.
También hacen falta registros resistentes a la manipulación para las entradas, llamadas a herramientas, aprobaciones y órdenes ejecutadas. Sin reversión, estado seguro y control manual, la autonomía se convierte en una apuesta a que nunca ocurrirá un escenario inusual.
Una persona en el circuito no resuelve la responsabilidad
Una persona en el circuito no elimina el problema automáticamente. Ante una avalancha de alertas, el operador puede confiar en una recomendación formulada con seguridad, no disponer de suficiente contexto o simplemente no tener tiempo de intervenir. Por eso, la supervisión debe otorgar un derecho real a rechazar una acción, pruebas comprensibles y un modo manual ensayado.
La brecha jurídica es igual de seria. Tras un accidente, la responsabilidad puede repartirse entre el operador de infraestructura, el integrador, el proveedor del modelo, el desarrollador de software, el contratista y un empleado concreto. Si los roles no se fijan de antemano, la investigación puede debatir de quién fue el fallo en lugar de qué lo causó.
El límite es bastante claro según el sector. En redes eléctricas, el agente sirve para previsión y diagnóstico; en agua, para analizar mantenimiento y calidad de procesos; y en ferrocarril, para horarios, priorización de reparaciones y revisión de incidentes. Sin embargo, influir en ajustes de protección, dosificación, presión, encaminamiento o autorización de movimiento exige garantías propias de componentes críticos para la seguridad, no una precisión atractiva sobre un conjunto de datos general.
Mi conclusión es simple: no se trata de prohibir la IA, sino de prohibir una autoridad ilimitada sin límites verificables. El componente más difícil de este tipo de agente quizá no sea el modelo, sino el sistema de responsabilidad que lo rodea.