Resumen ejecutivo
La inteligencia artificial entra en una nueva fase.
Los grandes modelos de lenguaje ya no se limitan a generar texto, imágenes o código. Pueden navegar por internet, recuperar información, manejar software, llamar a API, modificar archivos, desplegar código, interactuar con los sistemas de la empresa y, cada vez más, actuar en nombre de personas y de organizaciones.
Esa transición crea un problema de seguridad fundamental.
Cuanto más capaz es un sistema de IA, más útil resulta darle la posibilidad de actuar.
Pero cuanta más autoridad damos a un sistema probabilístico, mayores son las consecuencias cuando ese sistema se equivoca, es manipulado, resulta comprometido o simplemente se comporta de una manera que no habíamos previsto.
La respuesta actual del sector es sustancial y necesaria:
- mejorar los modelos;
- reforzar las salvaguardas;
- introducir permisos;
- ejecutar los agentes en sandbox;
- vigilar el comportamiento;
- restringir el acceso a la red;
- establecer identidades;
- exigir aprobaciones;
- contener los fallos.
Estos mecanismos tienen valor.
Pero, en lo esencial, abordan el problema desde la misma dirección:
¿Cómo hacemos que un agente de IA sea lo bastante seguro para ejercer autoridad?
ZIFFER propone plantear una pregunta más fundamental:
¿Por qué la inteligencia tendría que poseer autoridad?
Un sistema de IA puede generar una intención sin estar autorizado a ejecutarla.
Puede razonar sin poseer una autoridad sin límites.
Puede proponer una acción sin poder hacer que esa acción ocurra.
De ahí surge un principio de arquitectura muy simple:
La inteligencia no es autoridad.
Y de ese principio se deriva otro:
La intención y la autoridad deben estar separadas.
En este modelo, la IA produce una propuesta estructurada, la expresión de lo que considera que debe ocurrir. Una capa de autorización independiente determina si esa propuesta está permitida según la política, el contexto, la identidad, el riesgo y otras condiciones. Después, una capa de ejecución independiente realiza únicamente lo que ha sido autorizado.
El objetivo no es hacer infalible al modelo.
Es garantizar que:
La falibilidad del modelo no se convierta automáticamente en una consecuencia no autorizada en el mundo real.
Este documento defiende que esa separación debe convertirse en un principio de diseño fundamental de la IA autónoma.
1. El nuevo problema de la IA
Durante años, la interfaz principal con la inteligencia artificial fue simple:
Humano → IA → Respuesta
La IA producía información.
Si la respuesta era errónea, una persona podía rechazarla.
Las consecuencias se limitaban en general a la propia información.
La IA agéntica cambia esa relación:
Humano → IA → Acción → Consecuencia en el mundo real
Ahora la IA puede:
- enviar un correo electrónico;
- modificar una base de datos;
- crear o borrar archivos;
- desplegar software;
- comprar algo;
- cambiar una infraestructura;
- acceder a información confidencial;
- comunicarse con clientes;
- iniciar operaciones financieras;
- controlar sistemas industriales;
- llamar a otros agentes;
- delegar tareas en otros sistemas.
La distancia entre lo que el modelo piensa y lo que ocurre en el mundo es cada vez menor.
Eso crea un problema de arquitectura nuevo.
Una alucinación en un chatbot suele ser un problema de calidad de la información.
Una alucinación en un agente autónomo puede convertirse en un problema de autorización.
Una instrucción manipulada en un chatbot puede producir una mala respuesta.
Esa misma manipulación en un agente puede convertirse en una exfiltración de datos, en una transacción no autorizada o en una caída de producción.
Por tanto, la pregunta ya no es solo:
¿Podemos hacer que el modelo sea más preciso?
Pasa a ser:
¿Qué ocurre cuando una inteligencia imperfecta se conecta a una autoridad con consecuencias?
2. El sector ya está respondiendo
Esto no es una crítica al estado actual de la seguridad de la IA.
El sector está invirtiendo un esfuerzo enorme en resolver este problema.
OpenAI está desarrollando controles de seguridad para agentes en torno al sandbox, las aprobaciones, las restricciones de red, la identidad, las credenciales y la telemetría (OpenAI, Agent approvals and security).
Anthropic pone cada vez más el acento en la contención. Su trabajo de ingeniería distingue explícitamente entre reducir la probabilidad de un fallo y reducir el daño posible cuando el fallo se produce. Anthropic también reconoce que las defensas probabilísticas tienen una tasa de fallo distinta de cero (Anthropic, mayo de 2026).
El NIST está desarrollando trabajo de normalización sobre identidad, autorización, auditoría y no repudio de los agentes de IA (NIST NCCoE, Software and AI Agent Identity and Authorization).
NVIDIA ha descrito explícitamente una arquitectura en la que las capas superiores proponen acciones mientras que las capas inferiores de la infraestructura toman las decisiones que tienen autoridad (NVIDIA, Where Security Fits in an AI Agent Stack).
El sector avanza, por tanto, hacia una constatación importante:
El comportamiento del modelo, por sí solo, no puede constituir una frontera de seguridad suficiente.
ZIFFER no sostiene lo contrario.
Lo que ZIFFER pregunta es qué ocurre si llevamos esa constatación hasta su conclusión lógica.
3. La pregunta detrás de la pregunta
La pregunta dominante en ingeniería ha sido:
¿Cómo hacemos que los agentes sean lo bastante seguros para actuar?
ZIFFER pregunta:
¿Por qué tendría que ser la propia inteligencia lo que actúa?
La distinción puede sonar semántica.
No lo es.
Piensa en un empleado.
Un empleado puede decir:
«Quiero transferir 500 000 € a este proveedor.»
Esa frase expresa una intención.
No constituye automáticamente una autoridad.
El empleado puede necesitar:
- un cargo adecuado;
- una aprobación;
- un límite de gasto;
- un pedido de compra válido;
- una segregación de funciones;
- un proveedor válido;
- una política de transacciones;
- una segunda autorización.
Que el empleado sepa formular la petición no crea el derecho a ejecutarla.
Las organizaciones modernas han dedicado décadas a separar estos conceptos.
Los sistemas de IA los confunden cada vez más.
4. La confusión fundamental
Un sistema agéntico contiene varios conceptos distintos.
La inteligencia
La capacidad de interpretar información, razonar, planificar y generar respuestas.
La intención
Una representación de lo que el sistema propone que ocurra.
La autorización
La determinación de que una acción concreta está permitida.
La ejecución
La modificación efectiva del mundo exterior.
No son lo mismo.
Y, sin embargo, a medida que los agentes de IA ganan capacidad, estos conceptos se conectan cada vez más:
Modelo → Herramienta → Sistema → Consecuencia
ZIFFER propone una separación deliberada:
Modelo → Intención → Autorización → Ejecución
La diferencia es fundamental.
El modelo sigue siendo responsable de la inteligencia.
No pasa a ser la fuente de la autoridad.
5. La inteligencia es probabilística
Los grandes modelos de lenguaje son sistemas extraordinariamente potentes.
Pero no son motores de reglas deterministas.
Infieren.
Predicen.
Razonan de forma probabilística.
Trabajan sobre información incompleta.
Pueden entender mal un contexto.
Pueden alucinar.
Pueden ser manipulados.
Pueden encontrarse con entradas adversarias.
Pueden comportarse de forma inesperada ante combinaciones de información nunca vistas.
Aumentar la capacidad del modelo puede reducir muchas clases de error.
No puede transformar una inteligencia probabilística en un mecanismo de autoridad infalible.
De ahí una observación de seguridad importante:
P(error) no se vuelve cero por el simple hecho de que el modelo sea más capaz.
La respuesta tradicional consiste, por tanto, en reducir:
P(error)
todo lo posible.
ZIFFER propone un segundo objetivo:
Impedir que el error se convierta automáticamente en consecuencia.
Dicho de otro modo:
P(error) > 0 no tiene por qué implicar P(ejecución no autorizada) > 0.
Es la arquitectura la que debe crear esa separación.
6. Dejemos de pedirle al modelo que sea lo bastante fiable
Este es el giro filosófico central.
El enfoque tradicional es:
Hacer el modelo más seguro.
Después:
Darle más capacidades.
Después:
Añadir más controles alrededor de esas capacidades.
Después:
Darle más autoridad a medida que crece la confianza.
ZIFFER propone otra secuencia:
Construir una inteligencia potente.
Aceptar que esa inteligencia sigue siendo falible.
Dejar que genere intenciones.
Situar la autoridad en otro lugar.
Eso cambia la pregunta de seguridad, que pasa de:
«¿Podemos confiar en el agente?»
a:
«¿Puede el sistema seguir siendo seguro incluso cuando no se puede confiar en el agente?»
Es una propiedad mucho más fuerte.
No exige suponer que el agente es malicioso.
El agente puede ser:
- servicial;
- honesto;
- muy capaz;
- alineado;
- entrenado con cuidado;
y aun así quedar fuera de la frontera última de la autoridad.
Porque el compromiso no es el único problema.
La arquitectura también debe contar con:
- los malentendidos;
- un contexto desactualizado;
- instrucciones ambiguas;
- interacciones inesperadas;
- la inyección de prompts;
- datos maliciosos;
- vulnerabilidades de software;
- errores de configuración;
- comportamientos emergentes;
- fallos de agentes delegados.
La confianza no es una primitiva de seguridad suficiente en estas condiciones.
7. La intención no es autoridad
Veamos un ejemplo sencillo.
Un agente de IA recibe:
«Prepara los pagos a proveedores del mes.»
El agente analiza las facturas y propone:
Proveedor A: 40 000 €
Proveedor B: 72 000 €
Proveedor C: 18 000 €
Eso es intención.
El agente ha producido un conjunto de acciones propuestas.
Consideremos ahora dos arquitecturas.
Arquitectura A: acoplada
El agente posee las credenciales.
El agente llama a la API de pagos.
La API ejecuta la petición.
El sistema de seguridad intenta determinar si el comportamiento del agente es seguro.
Arquitectura B: separada
El agente produce una propuesta de pago canónica.
La propuesta se envía a una capa de autorización independiente.
La capa de autorización evalúa:
- quién ha iniciado la petición;
- qué tiene permitido hacer el agente;
- qué recurso queda afectado;
- el importe de la transacción;
- la política de la organización;
- las condiciones contextuales;
- las aprobaciones necesarias;
- la clasificación de riesgo;
- la vigencia;
- si la propuesta ya ha sido autorizada o consumida.
Solo entonces se crea una capacidad de ejecución.
El ejecutor realiza la operación autorizada.
El propio agente nunca poseyó la autoridad para realizar la transacción.
Esta es la separación de arquitectura que ZIFFER propone.
8. El agente no debe poder autorizarse a sí mismo
Dicho así, suena obvio.
Pero tiene consecuencias profundas.
Un agente no debe poder razonar de esta manera:
«He decidido que esto es necesario, luego estoy autorizado a hacerlo.»
Eso equivale a permitir que un componente de software defina sus propios permisos.
La decisión de autorización debe existir fuera de la inteligencia que generó la propuesta.
El agente puede solicitar autoridad.
No puede fabricarla.
No puede aumentar sus propios privilegios.
No puede redefinir la política que lo gobierna.
No puede convertir en autoridad una instrucción contenida en datos no fiables por el mero hecho de que el modelo haya interpretado esa instrucción como legítima.
Es un principio conocido de la seguridad convencional.
ZIFFER lo aplica directamente a la inteligencia autónoma.
9. Por qué la identidad por sí sola no basta
La seguridad de los agentes de IA se ocupa cada vez más de la identidad.
Es necesario.
Necesitamos saber:
¿Qué agente está haciendo esta petición?
Pero la identidad solo responde a una pregunta:
¿Quién eres?
La autorización responde a otra:
¿Qué tienes permitido hacer?
Y ZIFFER añade una tercera:
¿Estás autorizado a realizar exactamente esta acción, en exactamente este contexto, bajo exactamente esta política?
Un agente autenticado puede, aun así, estar:
- comprometido;
- con privilegios excesivos;
- manipulado;
- trabajando con información desactualizada;
- actuando fuera de la intención real del usuario.
Por tanto:
Identidad ≠ Intención
Identidad ≠ Autorización
Autorización ≠ Ejecución
Estas distinciones se vuelven más importantes cuanto más largos son los horizontes temporales en los que operan los sistemas de IA.
10. El problema de la aprobación humana
La aprobación humana parece resolver el problema.
Si la IA pregunta:
«¿Puedo enviar este correo?»
la persona puede decir sí o no.
En un flujo de trabajo sencillo, esto puede ser muy eficaz.
Pero los sistemas autónomos pueden generar un número enorme de decisiones.
La aprobación humana no escala de forma indefinida.
La telemetría de Claude Code publicada por Anthropic ofrece un ejemplo elocuente: los usuarios aprobaban en torno al 93 % de las peticiones de permiso. Anthropic describe explícitamente el fenómeno resultante como approval fatigue, fatiga de aprobación: a medida que se repiten las peticiones, los usuarios prestan menos atención a cada una (Anthropic, marzo de 2026).
Anthropic también ha observado que los usuarios con más experiencia en Claude Code conceden cada vez más autonomía al sistema, y que la aprobación automática completa aparece en más del 40 % de las sesiones entre los usuarios con más recorrido de su análisis.
Esto no demuestra que los usuarios sean descuidados.
Demuestra que hay un problema estructural:
Un mecanismo de seguridad que obliga a las personas a tomar una y otra vez decisiones de autorización de bajo nivel acaba compitiendo con la atención humana.
Y la atención humana es finita.
11. Una amenaza nueva: la fatiga de la autoridad
ZIFFER introduce el concepto de:
Fatiga de la autoridad
Definición
La fatiga de la autoridad es la degradación de la calidad de las autorizaciones provocada por el volumen, la repetición, la complejidad o la previsibilidad de las peticiones de autorización que genera un sistema autónomo.
Al principio, una persona puede examinar cada petición con cuidado.
Pero, a medida que aumenta el número de peticiones, empieza a reconocer un patrón:
«Esto parece lo mismo que antes.»
La decisión de autorización se vuelve poco a poco un hábito.
El proceso de seguridad sigue formalmente presente.
Pero la calidad de la decisión se ha deteriorado.
Esto crea una ilusión peligrosa:
El sistema sigue teniendo la aprobación de una persona, luego sigue bajo control humano.
No necesariamente.
12. La cadena de ataque de la fatiga de la autoridad
El fenómeno puede representarse así:
Aumenta la autonomía del agente
↓
Aumenta el número de peticiones de autorización
↓
Aumenta la carga cognitiva humana
↓
Disminuye la calidad de cada revisión
↓
La aprobación se vuelve un hábito
↓
La atención se desplaza de la autorización a la intervención
↓
Una acción anómala se vuelve más difícil de advertir
↓
Una acción maliciosa o no deseada recibe una autorización legítima
El atacante no necesita necesariamente vencer el mecanismo de autorización.
Puede, en cambio, explotar el proceso humano que rodea a la autorización.
Esto es radicalmente distinto de esquivar sin más un control de permisos.
El control de permisos sigue técnicamente intacto.
Lo que se ha degradado es el sentido de la aprobación.
13. Por qué esto importa para el modelo MITRE ATLAS
MITRE ATLAS ya reconoce varios riesgos relacionados.
Su material identifica la Excessive Agency, la agencia excesiva, como una situación en la que los componentes de IA tienen capacidades, permisos o autoridad sin control que no necesitan, y recomienda limitar las capacidades e implementar la autorización en los sistemas posteriores. También menciona la aprobación humana como una posible mitigación.
ATLAS incluye asimismo la técnica User Execution, la ejecución por parte del usuario, y otras técnicas relacionadas con agentes y herramientas en su base de conocimiento.
Por tanto, la fatiga de la autoridad no debe presentarse como si el problema de fondo de la agencia excesiva o de la implicación del usuario estuviera ausente de ATLAS.
La observación precisa es esta:
La degradación de la autorización humana causada por la repetición de peticiones de aprobación generadas por el agente no está representada hoy como una técnica de amenaza distinta y autónoma.
Esta distinción importa.
ATLAS describe la existencia de riesgos de autorización y de agencia excesiva.
ZIFFER identifica una manera concreta en la que el propio mecanismo de autorización puede volverse cada vez menos fiable a medida que aumenta la autonomía del agente.
Eso merece un tratamiento explícito.
14. La fatiga de la autoridad no es solo un problema de experiencia de uso
A primera vista podría parecer un problema de usabilidad.
No es solo eso.
Supongamos que un sistema pide aprobación 500 veces.
Si el usuario aprueba 495 de esas peticiones, el sistema puede concluir:
«La persona está aprobando casi todo.»
Pero la lectura en clave de seguridad debería ser otra:
Puede que la persona haya dejado de funcionar como un control de autorización eficaz.
Esto crea un bucle de realimentación peligroso.
Más autonomía produce más peticiones.
Más peticiones producen más fatiga.
Más fatiga produce más aprobaciones automáticas.
Más aprobaciones justifican más autonomía.
Más autonomía produce todavía más peticiones.
El sistema puede derivar así hacia una ejecución de hecho autónoma conservando la apariencia de autorización humana.
15. El problema de sustituir a las personas por modelos
El sector ya explora maneras de aliviar esta carga.
El modo auto de Claude Code delega parte de las decisiones de aprobación en clasificadores basados en modelos, y Anthropic lo presenta explícitamente como una forma de reducir la fatiga de aprobación (Anthropic, marzo de 2026).
Es una respuesta de ingeniería razonable.
Pero plantea una cuestión de arquitectura más profunda:
Si la persona no puede evaluar cada decisión, ¿debe otro sistema probabilístico convertirse en la autoridad en su lugar?
Eso no elimina necesariamente el problema de fondo.
Cambia:
la aprobación humana
por:
la aprobación basada en un modelo
Ambas pueden ser útiles.
Ninguna debe convertirse en la fuente última de autoridad por el mero hecho de que la alternativa resulte incómoda.
La propuesta de ZIFFER es distinta:
Reducir el número de decisiones que exigen una aprobación individual estableciendo una autoridad acotada con independencia del agente.
16. Del humano en el bucle a la autoridad definida por humanos
Esta es una distinción decisiva.
Modelo tradicional
Agente → pregunta a la persona → la persona aprueba → el agente ejecuta
La persona se convierte en un mecanismo de autorización repetido.
Modelo ZIFFER
Persona u organización → establece las fronteras de la autoridad
↓
Agente → propone una acción
↓
Capa de autorización → evalúa la acción frente a la autoridad
↓
Ejecutor → ejecuta si está autorizado
La persona sigue siendo esencial.
Pero su papel cambia.
En lugar de ser un botón que se pulsa miles de veces, la persona establece:
- qué puede hacer el agente;
- qué no debe hacer nunca;
- a qué recursos puede acceder;
- en qué condiciones;
- dentro de qué límites;
- cuándo hace falta una aprobación adicional.
La máquina aplica después esas fronteras.
Es una forma de control humano mucho más escalable.
17. La aprobación debe versar sobre la autoridad, no sobre cada acción
De ahí un principio:
Siempre que sea posible, la aprobación humana debe autorizar cambios de autoridad en lugar de validar mecánicamente cada acción rutinaria dentro de una autoridad ya concedida.
Por ejemplo.
En lugar de:
«¿Puedo leer esta ficha de cliente?»
«¿Puedo leer la siguiente ficha de cliente?»
«¿Puedo actualizar este campo?»
«¿Puedo actualizar el siguiente campo?»
la organización establece:
«Este agente puede leer fichas de clientes del conjunto de datos X con la finalidad Y.»
El sistema de autorización aplica esa frontera.
La intervención humana se vuelve necesaria cuando el agente pide algo que queda fuera de la autoridad establecida.
Esta es la diferencia entre:
aprobar acciones
y
definir autoridad.
18. El problema de los guardrails
Los guardrails tienen valor.
Pueden impedir que los modelos produzcan ciertas salidas.
Pueden detectar comportamientos sospechosos.
Pueden orientar el razonamiento.
Pueden identificar una inyección de prompts.
Pueden rechazar peticiones.
Pero un guardrail es, por lo general, un control de comportamiento.
Influye en lo que la inteligencia hace.
Una frontera de seguridad es otra cosa.
Determina lo que la inteligencia puede hacer.
La distinción se reconoce cada vez más en las arquitecturas de agentes modernas: los controles de comportamiento pueden influir en un agente, mientras que los controles a nivel de infraestructura pueden imponer a qué es capaz de acceder o qué es capaz de ejecutar realmente ese agente (NVIDIA, Where Security Fits in an AI Agent Stack).
Esta distinción es central para ZIFFER.
Un sistema no debe depender únicamente de que un componente inteligente obedezca voluntariamente la regla que protege al sistema.
La regla debe existir fuera del componente.
19. El problema de la detección
La detección pregunta:
¿Ha ocurrido algo malo?
Es extremadamente valiosa para la respuesta a incidentes.
Pero la detección está, por naturaleza, aguas abajo.
Si un agente de IA puede ejecutar una acción no autorizada y el sistema de seguridad la detecta después, puede que el sistema ya haya sufrido la consecuencia.
Por eso ZIFFER da prioridad a la prevención mediante la separación de la autoridad.
La pregunta pasa a ser:
¿Puede la acción ejecutarse sin atravesar la frontera de autorización?
Si la respuesta es no, el compromiso de la inteligencia no implica automáticamente el compromiso de la ejecución.
La detección sigue siendo importante.
Pero pasa a formar parte de la defensa en profundidad en lugar de ser el mecanismo principal de autoridad.
20. El problema del kill switch
Un kill switch es útil.
Pero un kill switch presupone que:
- el sistema detecta el problema;
- alguien o algo acciona el interruptor;
- el interruptor llega hasta el agente;
- el agente se detiene antes de causar consecuencias inaceptables.
ZIFFER introduce otra propiedad.
No hace falta detener al agente si nunca poseyó la autoridad necesaria para realizar la operación no autorizada.
Un agente malicioso o comprometido puede seguir generando propuestas.
La capa de autorización puede sencillamente rechazarlas.
De ahí una distinción importante:
Detener la inteligencia no es lo mismo que controlar la autoridad.
21. La analogía biológica
La inspiración conceptual de ZIFFER procede en parte de la biología.
Una célula viva no da por supuesto que toda molécula que se le acerca sea de fiar.
Dispone, en cambio, de:
- fronteras;
- membranas;
- receptores;
- transporte controlado;
- compartimentos;
- mecanismos de señalización;
- puntos de control;
- controles de recursos;
- mecanismos para contener el daño.
La célula no hace que cada señal sea de fiar.
Controla lo que esa señal tiene permitido provocar.
Es un modelo potente para el software autónomo.
Un agente de IA recibe cantidades enormes de información.
Parte puede ser fiable.
Parte puede ser incorrecta.
Parte puede ser maliciosa.
Parte puede ser ambigua.
Parte puede estar diseñada deliberadamente para manipular al agente.
El objetivo no tiene que ser clasificar a la perfección cada señal.
El sistema puede, en cambio, establecer una frontera:
La información puede influir en la intención.
La información no adquiere autoridad de forma automática.
Este es el principio biológico traducido a la arquitectura de software.
22. La autonomía no tiene por qué significar autoridad
Una de las consecuencias más importantes de esta arquitectura es una redefinición de la autonomía.
Hoy, la autonomía suele entenderse así:
El sistema puede tomar decisiones y ejecutarlas sin preguntar a una persona.
ZIFFER propone una definición más precisa:
Un sistema autónomo es capaz de perseguir objetivos sin intervención humana continua; no necesita por ello una autoridad sin límites.
Un agente autónomo puede:
- observar;
- razonar;
- planificar;
- proponer;
- negociar;
- solicitar autorización;
- ejecutar operaciones autorizadas;
- aprender de los resultados.
El agente puede, por tanto, ser muy autónomo y seguir acotado por un sistema de autoridad independiente.
Esto permite aumentar la inteligencia sin aumentar automáticamente el privilegio.
23. Más inteligencia no debería significar más autoridad
Quizá sea la consecuencia más contraintuitiva de ZIFFER.
La trayectoria convencional es:
Modelo más capaz
↓
Agente más útil
↓
Más herramientas
↓
Más permisos
↓
Más autonomía
ZIFFER propone:
Modelo más capaz
↓
Inteligencia más útil
↓
Mejores propuestas
↓
Autorización independiente
↓
Ejecución controlada
El modelo puede volverse mucho más inteligente sin adquirir una autoridad equivalente.
Ese desacoplamiento podría ganar importancia a medida que los sistemas de IA sean más capaces.
24. Hacia dónde empieza a converger el sector
ZIFFER no debe dar a entender que este concepto ha surgido de forma aislada.
Ya existe un movimiento claro hacia controles de seguridad externalizados.
NVIDIA ha descrito explícitamente una arquitectura en la que las capas superiores proponen acciones y las capas inferiores de la infraestructura toman las decisiones que tienen autoridad (NVIDIA, Where Security Fits in an AI Agent Stack).
OpenAI está construyendo entornos de agentes con sandbox, permisos, controles de red, identidad y credenciales (OpenAI, Agent approvals and security).
Anthropic pone cada vez más el acento en la contención y en la reducción del radio de impacto, y reconoce explícitamente que las defensas probabilísticas tienen una tasa de fallo distinta de cero (Anthropic, mayo de 2026).
El NIST estudia la identidad y la autorización como infraestructura fundacional para los agentes de IA (NIST NCCoE, Software and AI Agent Identity and Authorization).
La dirección es, por tanto, importante:
El sector está alejando progresivamente la autoridad del modelo.
La tesis de ZIFFER es que esa separación no debe quedarse en un detalle de implementación.
Debe convertirse en un principio de arquitectura de primer orden.
25. De la seguridad de agentes a la arquitectura de la IA
Esta distinción importa en términos estratégicos.
Si ZIFFER se describe simplemente como:
seguridad de agentes de IA
entra en un mercado en rápida expansión hecho de:
- firewalls de IA;
- protección contra la inyección de prompts;
- supervisión de agentes;
- gestión de identidades;
- seguridad en tiempo de ejecución;
- gobernanza;
- motores de políticas;
- EDR;
- seguridad en la nube;
- plataformas de seguridad de IA.
La tesis de ZIFFER es más amplia.
Pregunta si debe cambiar la arquitectura misma de la IA autónoma.
La abstracción fundamental pasa a ser:
la inteligencia
está separada de
la intención
que está separada de
la autoridad
que está separada de
la ejecución.
La seguridad se convierte entonces en una propiedad de la arquitectura y no en algo añadido alrededor de un agente una vez construido.
26. Un nuevo objetivo de seguridad
La seguridad de la IA intenta con frecuencia mejorar:
la fiabilidad del modelo
La ciberseguridad tradicional intenta reducir:
los accesos no autorizados
ZIFFER combina estas ideas de otra manera.
Propone que el objetivo de seguridad central de la IA autónoma sea este:
Una inteligencia errónea o comprometida no debe obtener automáticamente la autoridad para producir una acción no autorizada con consecuencias.
Esto da lugar a otra ecuación del riesgo.
En lugar de confiar sobre todo en:
una baja probabilidad de error del modelo
aspiramos a:
una baja probabilidad de que el error del modelo se convierta en consecuencia no autorizada.
Esa distinción importa porque sigue siendo útil aunque cambie el modelo.
Un modelo nuevo puede comportarse de otra manera.
Un marco de agentes nuevo puede comportarse de otra manera.
Un sistema de orquestación nuevo puede comportarse de otra manera.
Pero, si todos los efectos con consecuencias deben atravesar la misma frontera de autorización, la propiedad de seguridad se mantiene.
27. El principio de arquitectura
ZIFFER puede expresarse, por tanto, en una sola frase:
La IA puede determinar qué quiere hacer; la IA no debe determinar si está autorizada a hacerlo.
Esto no significa que haya que impedir que la IA razone sobre la política.
Un agente puede necesitar entender la política para planificar bien.
Pero su comprensión de la política es consultiva.
La política que tiene autoridad existe fuera de la inteligencia.
Esta distinción es crucial.
Un agente puede decir:
«Creo que esta acción está permitida.»
El sistema de autorización determina de forma independiente:
«Esta acción está permitida.»
Esas dos frases no deben ser nunca equivalentes por el mero hecho de que las haya generado la misma inteligencia.
28. La intención debe hacerse explícita
Separar la intención de la autoridad exige además hacer explícita la intención.
Una instrucción en lenguaje natural es ambigua.
Para las operaciones con consecuencias, el sistema debe transformar la intención en una representación canónica.
Por ejemplo.
Petición humana
«Paga al proveedor.»
se convierte en algo más parecido a:
Acción
PAYMENT
Destino
SUPPLIER-123
Importe
72 000 €
Divisa
EUR
Cuenta
ACCOUNT-456
Origen
REQUEST-789
Finalidad
INVOICE-2026-0817
Lo importante es que la decisión de autorización no se toma sobre una conversación vaga.
Se toma sobre una acción propuesta concreta.
Esto crea un objeto estable que puede:
- evaluarse;
- autorizarse;
- acotarse;
- auditarse;
- firmarse;
- verificarse;
- ejecutarse;
- registrarse.
La propuesta se convierte en el puente entre la inteligencia y la autoridad.
29. La autorización debe seguir a la acción
Una afirmación genérica como:
«Este agente tiene permitido gestionar pagos»
no basta para los sistemas de altas consecuencias.
La autorización debe asociarse cada vez más:
- a la acción concreta;
- al recurso concreto;
- al contexto concreto;
- a la política aplicable;
- a la autoridad requerida;
- al momento;
- a la identidad;
- a las restricciones pertinentes.
Esto produce un modelo mucho más sólido:
La autoridad no se concede simplemente a un agente. La autoridad se concede a una acción autorizada, bajo condiciones definidas.
El agente puede solicitar esa autoridad tantas veces como haga falta.
Pero cada operación con consecuencias debe atravesar la frontera de autorización.
30. La ejecución debe estar separada
El último paso es la ejecución.
El sistema que realiza la acción en el mundo real no debe limitarse a creer que el agente estaba autorizado porque el agente lo dice.
El ejecutor debe recibir un artefacto de autorización verificable de forma independiente.
Conceptualmente:
Propuesta
↓
Decisión de política
↓
Autorización
↓
Credencial de ejecución / comprobante
↓
Ejecutor
El ejecutor verifica que la acción que va a realizar se corresponde con la acción que fue autorizada.
Esto cierra una brecha importante.
De lo contrario, un atacante podría manipular al agente después de la autorización, cambiar el destino, cambiar el importe, cambiar el recurso o repetir un permiso antiguo.
La autorización debe estar, por tanto, ligada a la acción que se ejecuta.
31. La prueba debe sobrevivir a la acción
Un sistema autónomo seguro no debe limitarse a responder:
¿Estaba permitida esta acción?
También debe poder establecer:
- qué se propuso;
- quién o qué lo propuso;
- qué política se aplicó;
- qué contexto se tuvo en cuenta;
- quién autorizó;
- qué se autorizó exactamente;
- cuándo se produjo la autorización;
- si la autorización seguía siendo válida;
- si ya había sido consumida;
- qué se ejecutó realmente.
Así, la autorización se convierte en prueba.
El sistema debe poder reconstruir la cadena:
Intención → Decisión → Autorización → Ejecución → Prueba
Esto es imprescindible en entornos regulados, en la investigación de incidentes, en la rendición de cuentas y en el no repudio.
32. ZIFFER y la defensa en profundidad
ZIFFER no elimina los controles de seguridad existentes.
Los complementa.
Un sistema autónomo maduro debe seguir usando:
- la seguridad del modelo;
- defensas contra la inyección de prompts;
- código seguro;
- identidad;
- mínimo privilegio;
- segmentación de red;
- sandbox;
- detección de anomalías;
- supervisión en tiempo de ejecución;
- aprobación humana;
- seguridad de los endpoints;
- protección de datos;
- respuesta a incidentes.
La diferencia está en dónde se sitúan estos mecanismos.
No deben depender todos de que el agente se comporte correctamente.
La arquitectura debe establecer una frontera de autoridad final que siga siendo eficaz aunque fallen las capas superiores.
Eso da lugar a una defensa en profundidad:
Controles del modelo
↓
Controles del agente
↓
Controles del harness
↓
Controles de autorización
↓
Controles de ejecución
↓
Controles de la infraestructura
Las capas superiores mejoran el comportamiento.
Las capas inferiores imponen la consecuencia.
33. ¿Qué ocurre cuando el agente está comprometido?
Esta es la prueba definitiva.
Supongamos que un atacante consigue manipular a un agente.
El agente propone entonces:
«Exportar todas las fichas de clientes a un servidor controlado por el atacante.»
¿Qué ocurre?
En una arquitectura de seguridad que depende del modelo, el sistema confía en que el modelo o los controles que rodean al agente reconozcan que la acción es maliciosa.
En una arquitectura ZIFFER, la propuesta llega a la frontera de autorización.
El sistema de autorización pregunta:
- ¿Es accesible este recurso?
- ¿Está permitida esta operación?
- ¿Está autorizado este destino?
- ¿Tiene permitido salir esta clase de datos?
- ¿Se corresponde la acción con la finalidad autorizada?
- ¿Tiene el agente permitido solicitar esta operación?
- ¿Se cumplen las condiciones requeridas?
Si no es así:
La propuesta falla.
La inteligencia comprometida puede seguir existiendo.
Pero el compromiso de la inteligencia no se convierte automáticamente en compromiso de la autoridad.
Esa es la propiedad que buscamos.
34. El principio de la consecuencia contenida
De ahí otro concepto importante:
Un sistema autónomo seguro debe contener las consecuencias del fallo de la inteligencia en lugar de exigir que ese fallo sea imposible.
Así razonan las disciplinas de ingeniería que dan por hecho que los componentes pueden fallar.
La aeronáutica no da por supuesto que todos los componentes vayan a funcionar a la perfección.
Los sistemas financieros no dan por supuesto que todos los empleados vayan a comportarse a la perfección.
Los sistemas operativos no dan por supuesto que todas las aplicaciones sean de fiar.
La ciberseguridad moderna no da por supuesto que todos los endpoints estén limpios.
En su lugar, estos sistemas establecen fronteras.
La IA debe tratarse de la misma manera.
La pregunta pasa a ser:
Si la inteligencia falla, ¿cuál es la consecuencia máxima que puede causar?
Es una pregunta más útil que la de si la inteligencia puede fallar.
35. Cambiar la forma en que consumimos la IA
Quizá sea, en el fondo, la consecuencia más importante del modelo ZIFFER.
Hoy consumimos la IA cada vez más como un actor.
Decimos:
«Pídeselo a la IA.»
ZIFFER propone que consumamos la IA sobre todo como una inteligencia capaz de generar intenciones.
Después consumimos la autoridad como una capacidad aparte del sistema.
Esto crea una relación nueva:
La IA aporta la inteligencia.
La organización aporta la autoridad.
El sistema de autorización determina si la autoridad se aplica.
El sistema de ejecución crea la consecuencia.
Esta separación podría permitir a las organizaciones usar modelos cada vez más potentes sin tener que convertir al propio modelo en el centro de confianza del sistema.
36. Una nueva definición de la confianza
ZIFFER no elimina la confianza.
La reubica.
En lugar de preguntar:
«¿Confío en el modelo?»
preguntamos:
«¿Confío en los mecanismos que determinan lo que el modelo tiene permitido provocar?»
Es una pregunta mucho más manejable.
Un modelo puede cambiar.
Un modelo puede actualizarse.
Un modelo puede sustituirse.
Un modelo puede afinarse.
Un modelo puede resultar comprometido.
Pero la frontera de autoridad puede permanecer estable.
Es lo mismo que hacen los sistemas operativos cuando permiten que las aplicaciones cambien sin permitir que cada aplicación redefina su modelo de seguridad.
37. Por qué esto importa para el futuro de los agentes
A medida que los agentes ganen capacidad, operarán durante periodos cada vez más largos.
Van a:
- mantener memoria;
- interactuar con otros agentes;
- descubrir información;
- delegar tareas;
- llamar a herramientas;
- negociar;
- modificar sistemas;
- tomar decisiones a lo largo del tiempo.
La complejidad de su comportamiento se volverá difícil de predecir para las personas.
Eso hace que la suposición de que:
«Podemos entender lo que el agente va a hacer.»
sea cada vez más frágil.
La alternativa es construir sistemas en los que no necesitemos una predicción perfecta.
Podemos dejar que el agente explore un amplio espacio de intenciones posibles mientras controlamos el subconjunto de consecuencias que tiene autorizado producir.
Es una manera arquitectónica de tratar la incertidumbre.
38. Un nuevo modelo de amenazas para la IA autónoma
El modelo ZIFFER sugiere que los modelos de amenazas tradicionales de la IA deberían ampliarse más allá de los ataques contra los modelos.
La superficie de amenaza incluye al menos cuatro dominios distintos.
1. Compromiso de la inteligencia
El atacante manipula lo que el modelo cree, produce o pretende hacer.
Ejemplos:
- inyección de prompts;
- contexto malicioso;
- datos adversarios;
- recuperación comprometida;
- descripciones de herramientas manipuladas.
2. Compromiso de la intención
El atacante manipula la representación de la acción propuesta.
Ejemplos:
- manipulación de parámetros;
- sustitución del destino;
- ambigüedad de la acción;
- transformación semántica;
- alteración de la propuesta.
3. Compromiso de la autoridad
El atacante intenta obtener una autorización que no debería existir.
Ejemplos:
- escalada de privilegios;
- manipulación de la política;
- abuso de la aprobación;
- compromiso de identidad;
- repetición de una autorización;
- amplificación de autoridad.
4. Compromiso de la ejecución
El atacante intenta alterar lo que ocurre realmente después de la autorización.
Ejemplos:
- cambio de los parámetros de ejecución;
- repetición de una autorización;
- modificación del destino;
- elusión del ejecutor;
- provocación de un desfase time-of-check/time-of-use.
La arquitectura de ZIFFER trata estos dominios como fronteras de seguridad distintas.
Es importante, porque un ataque contra la inteligencia no debe convertirse automáticamente en un ataque contra la autoridad.
39. La fatiga de la autoridad como amenaza transversal
La fatiga de la autoridad resulta especialmente interesante porque atraviesa esas fronteras.
Puede que el propio agente no esté comprometido.
Puede que el mecanismo de autorización no haya sido técnicamente esquivado.
Puede que la persona apruebe la petición de forma legítima.
Y, aun así, el sistema puede fallar porque el proceso de autorización se ha degradado.
La cadena de amenaza pasa a ser:
Autonomía del agente
→ volumen de aprobaciones
→ carga cognitiva humana
→ habituación a la aprobación
→ menor escrutinio
→ autorización legítima de una acción no deseada
Esto debe tratarse como una amenaza de arquitectura y no como una mera cuestión de experiencia de uso.
Demuestra por qué una arquitectura de seguridad debe minimizar su dependencia de la atención humana repetida.
40. Hacia una capa de autoridad para la IA
Si la separación se convierte en un principio fundamental, surge una nueva categoría de infraestructura.
Igual que los sistemas modernos tienen:
- capas de cómputo;
- capas de almacenamiento;
- capas de red;
- capas de identidad;
- capas de política;
la IA autónoma podría requerir una:
capa de autoridad
específica.
Esa capa se situaría entre la inteligencia y la ejecución con consecuencias.
Ofrecería mecanismos para:
- la identidad de la acción;
- la evaluación de la política;
- la autorización contextual;
- la atenuación de privilegios;
- la aprobación;
- la delegación;
- la caducidad de la autorización;
- la verificación de la ejecución;
- el no repudio;
- la evidencia de auditoría;
- la prevención de repeticiones;
- la revocación;
- la segregación de funciones.
La IA seguiría siendo libre de razonar.
La capa de autoridad determinaría en qué puede convertirse ese razonamiento.
41. La visión a largo plazo
El objetivo último no es construir sistemas en los que la IA esté permanentemente constreñida.
Es construir sistemas en los que la inteligencia y la autoridad puedan evolucionar de forma independiente.
Una organización podría sustituir su modelo subyacente cada pocos meses.
El modelo podría pasar de:
Modelo A → Modelo B → Modelo C
sin exigir un rediseño completo de la arquitectura de autoridad de la organización.
El modelo se convierte en un componente de inteligencia reemplazable.
La autoridad se convierte en una capacidad de infraestructura de la organización.
Esto podría cambiar profundamente la forma en que las empresas piensan la adopción de la IA.
En lugar de preguntar:
«¿Confiamos lo bastante en este modelo para conectarlo a nuestros sistemas?»
podrían preguntar:
«¿Puede nuestra arquitectura de autoridad contener con seguridad cualquier inteligencia que decidamos desplegar?»
Es una pregunta mucho más escalable.
42. El desafío al estado del arte
El sector está entregado hoy a un esfuerzo enorme por hacer más seguros a los agentes de IA.
Ese trabajo es necesario.
Pero la siguiente pregunta debería ser más fundamental.
No deberíamos preguntar solo:
¿Hasta dónde podemos hacer segura la inteligencia?
Deberíamos preguntar:
¿Cuánta autoridad necesita realmente la inteligencia?
No deberíamos preguntar solo:
¿Con cuánta precisión puede un agente reconocer instrucciones maliciosas?
Deberíamos preguntar:
¿Qué impide que una instrucción maliciosa adquiera autoridad si el agente no la reconoce?
No deberíamos preguntar solo:
¿Con cuánta rapidez podemos detectar a un agente autónomo que se comporta mal?
Deberíamos preguntar:
¿Puede el agente provocar la acción con consecuencias sin atravesar una frontera de autoridad independiente?
Y no deberíamos preguntar solo:
¿Cuántas acciones puede aprobar una persona?
Deberíamos preguntar:
¿Qué ocurre cuando el número de decisiones de aprobación se vuelve demasiado grande para un juicio humano de verdad?
Son preguntas distintas.
Y llevan a arquitecturas distintas.
43. Una nueva definición de autonomía segura
ZIFFER propone distinguir dos conceptos que a menudo se mezclan.
Autonomía de comportamiento
La capacidad de un sistema de IA de operar sin intervención humana continua.
Autonomía de autoridad
La capacidad de un sistema de IA de concederse o ejercer autoridad con consecuencias sin un mecanismo de autorización independiente.
ZIFFER respalda la primera.
Rechaza la idea de que la primera exija la segunda.
Un sistema puede, por tanto, volverse:
más autónomo
sin volverse:
más autoritario por naturaleza.
Quizá sea uno de los principios de diseño más importantes para la próxima generación de IA.
44. El principio ZIFFER
Toda la filosofía se reduce a cinco principios.
1. La inteligencia es probabilística.
Los modelos razonan bajo incertidumbre.
2. La intención no es autoridad.
Una acción propuesta no se vuelve legítima por el mero hecho de que la haya propuesto un sistema inteligente.
3. La autoridad debe estar externalizada.
La decisión que tiene autoridad debe existir fuera de la inteligencia que genera la propuesta.
4. La ejecución debe verificar la autoridad.
El ejecutor debe imponer de forma independiente lo que ha sido autorizado.
5. La prueba debe sobrevivir a la ejecución.
El sistema debe conservar evidencia suficiente para establecer qué se pretendía, qué se autorizó y qué se ejecutó.
En conjunto:
La inteligencia propone.
La autoridad autoriza.
La ejecución verifica.
La prueba recuerda.
45. Qué es ZIFFER, y qué no es
ZIFFER no es:
- un sustituto de la seguridad del modelo;
- un detector de inyección de prompts;
- un firewall de IA;
- una técnica de alineamiento de LLM;
- un proveedor de identidad;
- un producto de EDR;
- un panel de supervisión;
- un simple sistema de permisos.
ZIFFER es una propuesta de arquitectura:
Un sistema para separar la intención generada por la IA de la autoridad necesaria para convertir esa intención en ejecución con consecuencias.
Su propósito no es hacer la IA menos capaz.
Es hacer que la capacidad y la autoridad sean independientes.
46. El giro filosófico de fondo
Bajo ZIFFER late una idea filosófica más amplia.
La civilización humana siempre ha separado:
el conocimiento
de
el permiso.
Una persona puede saber abrir una caja fuerte sin estar autorizada a abrirla.
Un programador puede saber modificar una base de datos de producción sin estar autorizado a hacerlo.
Un empleado puede saber transferir dinero sin tener permiso para transferirlo.
El conocimiento no confiere autoridad de forma automática.
La IA introduce una situación extraña, porque un mismo sistema puede a la vez:
- entender;
- razonar;
- decidir;
- comunicar;
- manejar software;
- llamar a API;
- ejecutar acciones.
Las fronteras entre el conocimiento y la acción se comprimen.
ZIFFER propone restablecer esas fronteras mediante la arquitectura.
No porque la IA sea mala.
No porque no se pueda confiar en absoluto en la IA.
Sino porque la capacidad y la autoridad son propiedades fundamentalmente distintas.
47. La pregunta central
Todo el argumento se reduce, en última instancia, a una pregunta:
Si un sistema de IA puede equivocarse, ser manipulado o resultar comprometido, y ya sabemos que puede, ¿por qué su inteligencia habría de ser lo que le concede la autoridad para actuar?
Esa pregunta no nos exige desconfiar de la IA.
Nos pide distinguir dos cosas que nunca debieron ser sinónimas:
la capacidad de proponer una acción
y
la autoridad para realizarla.
48. Conclusión
La siguiente etapa de la IA quizá no nos exija hacer la inteligencia perfectamente fiable.
Quizá nos exija dejar de hacer de la confianza el requisito previo de la autoridad.
Los grandes modelos de lenguaje seguirán mejorando.
Los agentes serán más capaces.
Su razonamiento será más sofisticado.
Su capacidad de manejar software y de interactuar con el mundo físico y digital se ampliará.
Aun así, su comportamiento seguirá siendo probabilístico.
Eso no es necesariamente un problema.
El problema surge cuando traducimos directamente una inteligencia probabilística en autoridad.
ZIFFER propone otro camino.
Dejemos que la IA razone.
Dejemos que la IA explore.
Dejemos que la IA proponga.
Dejemos que la IA sea extraordinariamente capaz.
Pero separemos esa capacidad de la autoridad para cambiar el mundo.
La inteligencia no debería necesitar que se le confíe autoridad.
Es la arquitectura la que debe determinar qué tiene permitido provocar la inteligencia.
De ahí un principio simple:
La IA es probabilística.
La autoridad no puede serlo.
Y, por tanto:
La intención no debe llevar autoridad consigo.
El futuro de la IA autónoma quizá no consista en construir máquinas en las que confiemos lo bastante para gobernar el mundo.
Quizá consista en construir sistemas en los que las máquinas puedan volverse extraordinariamente inteligentes sin llegar nunca a ser la autoridad última sobre lo que ocurre en el mundo.
Doctrina ZIFFER
La inteligencia propone.
La intención describe.
La autoridad decide.
La ejecución verifica.
La prueba recuerda.
La IA puede ser autónoma sin ser soberana.
La pregunta final
El sector dedica recursos extraordinarios a hacer los modelos más capaces, mejor alineados, más fiables y más resistentes a la manipulación.
Ese trabajo debe continuar.
Pero quizá la capacidad y la autoridad no deberían seguir tratándose como las dos caras de una misma progresión.
Quizá la próxima generación de arquitecturas de IA debería seguir otra ecuación:
Más inteligencia ≠ más autoridad.
Y quizá la forma más segura de consumir una IA cada vez más potente no sea hacer la inteligencia lo bastante fiable para gobernar el mundo.
Es diseñar el mundo de modo que la inteligencia no necesite que se confíe en ella para ser útil.
Esa es la separación.
Ese es el giro de arquitectura.
Esto es ZIFFER.
Fuentes
- Anthropic, How we built Claude Code auto mode, marzo de 2026. https://www.anthropic.com/engineering/claude-code-auto-mode
- Anthropic, How we contain Claude across products, mayo de 2026. https://www.anthropic.com/engineering/how-we-contain-claude
- NVIDIA, Where Security Fits in an AI Agent Stack. https://developer.nvidia.com/blog/where-security-fits-in-an-ai-agent-stack
- OpenAI, Agent approvals and security. https://learn.chatgpt.com/docs/agent-approvals-security
- NIST NCCoE, Software and AI Agent Identity and Authorization. https://www.nccoe.nist.gov/projects/software-and-ai-agent-identity-and-authorization