Seguridad de agentes de IA: sandbox, kill switch y credenciales

En resumen: cuando un agente de IA puede ejecutar comandos, abrir tu navegador o iniciar sesión en servicios, deja de ser un chat y pasa a ser un empleado con acceso. En las últimas semanas han aparecido tres piezas de control que conviene conocer: un sandbox de AWS que limita lo que el agente puede hacer (Strands Box), un kill switch de CrowdStrike para detenerlo (AI Kill Switch) y un broker de credenciales de 1Password para que use contraseñas sin verlas. Ninguna es mágica, pero juntas dibujan el modelo de seguridad que viene.

¿Por qué los agentes de IA necesitan sus propios controles de seguridad?

Un asistente que solo responde texto puede equivocarse, pero no toca nada. Un agente que ejecuta herramientas puede borrar archivos, enviar mensajes, gastar dinero o filtrar datos, ya sea por un error del modelo o porque alguien le ha colado instrucciones maliciosas en una web, un correo o un documento (lo que se conoce como prompt injection). El Radar de O’Reilly de noviembre de 2026 señala el riesgo de inyección de instrucciones cuando los agentes se comunican a través de MCP, el protocolo que ya explicamos en MCP vs RAG vs Agentes IA.

La respuesta de la industria sigue tres ideas: contener al agente, poder pararlo y no darle secretos.

1. Contener: Strands Box, el sandbox de AWS

AWS ha publicado Strands Box, un sandbox de código abierto (licencia Apache 2.0, escrito en Rust) para ejecutar agentes con límites explícitos. Su primera versión etiquetada, la 0.1.0, salió el 7 de octubre de 2026 y está en fase de vista previa para desarrolladores.

Según la documentación y la cobertura de Help Net Security:

• Combina aislamiento a nivel de sistema operativo con políticas que dicen qué puede ejecutar, leer, escribir o alcanzar en la red.
• Las decisiones las toma Dogwood, un lenguaje de políticas que extiende Cedar para gobernar secuencias de llamadas a herramientas, no solo acciones sueltas. Así una regla puede depender de lo que el agente ya ha hecho.
• El motor de políticas y la aplicación de las reglas se ejecutan fuera del sandbox, de modo que el agente no puede saltárselas desde dentro.

El repositorio strands-agents/box es muy reciente (creado el 2 de octubre de 2026) y a 9 de noviembre tiene unas 500 estrellas. Es una versión 0.1.x, con claves y opciones que pueden cambiar, así que es para probar, no para confiar a ciegas.

2. Poder pararlo: el AI Kill Switch de CrowdStrike

El 3 de noviembre de 2026, en Fal.Con Europe (Barcelona), CrowdStrike presentó el AI Kill Switch, una función de su producto Falcon Guardian. Permite a un equipo de seguridad detener un agente, impedir que se reinicie y cortar su acceso a la red.

Hoy funciona en la capa de AI Gateway: el equipo de seguridad lo activa y los gateways conectados bloquean el acceso a los modelos que alimentan al agente. CrowdStrike indica que la contención en endpoints y en aplicaciones SaaS llegará más adelante, y algunas coberturas la tratan como “planificada”, así que conviene comprobar el estado actual antes de contar con ella.

La lección es más importante que el producto: todo agente en producción debería tener un botón de parada que no dependa del propio agente.

3. No darle secretos: 1Password for Agents

El 22 de octubre de 2026, 1Password anunció 1Password for Agents, una capa que permite a un agente personal iniciar sesión en cuentas tras la aprobación del usuario, sin recibir nunca la contraseña. Según la compañía:

• Es gratis para cuentas Individual y Family de 1Password.com.
• Al lanzamiento no admite cuentas de las regiones europea y canadiense.
• La aprobación protege la credencial, no lo que el agente haga después dentro de la cuenta.

Es la versión de consumidor de una idea más amplia: el credential broker. 1Password lleva meses con una versión para empresas (Credential Broker, en beta privada desde junio de 2026 con soporte para GitHub Actions) que entrega una credencial aprobada solo a la carga de trabajo verificada que la necesita.

Checklist para poner agentes en producción

Estas son recomendaciones prácticas, basadas en los principios que comparten los tres productos:

1. Mínimo privilegio. El agente solo recibe las herramientas y los datos que necesita para su tarea.
2. Aislamiento. Ejecútalo en un sandbox o contenedor, no directamente en tu máquina ni en un servidor con datos reales.
3. Secretos fuera de su alcance. Usa un gestor o un broker que entregue credenciales temporales; nunca pongas claves en el prompt ni en archivos que el agente pueda leer.
4. Aprobación humana para lo irreversible. Pagos, borrados, envíos masivos y cambios en producción requieren una confirmación explícita.
5. Trata el contenido externo como datos, no como órdenes. Una web, un PDF o un correo pueden contener instrucciones ocultas.
6. Revisa y limita los servidores MCP. Instala solo los que conozcas y revisa qué permisos piden.
7. Registro y auditoría. Guarda qué herramienta llamó el agente, con qué parámetros y cuándo.
8. Botón de parada. Define quién puede apagar un agente y cómo, antes de que haga falta.

¿Y si ya uso agentes en mi empresa?

Empieza por un inventario: qué agentes hay, con qué herramientas y qué credenciales tocan. Lo normal es descubrir que alguno tiene más permisos de los que necesita. A partir de ahí, aplica los puntos anteriores empezando por los agentes con más acceso.

Si estás pensando en llevar agentes a procesos de negocio y quieres diseñarlos con controles desde el principio, en Stellar Flavor trabajamos el diseño, la integración y las salvaguardas. También puedes leer cómo lo aplicamos a automatizaciones con IA a medida.

Fuentes

• AWS Open Source Blog: Introducing Strands Box
• Help Net Security: Strands Box, open-source sandbox for AI agents (12 de octubre de 2026)
• CrowdStrike: Introducing AI Kill Switch (3 de noviembre de 2026)
• 1Password: 1Password for Agents (22 de octubre de 2026)
• 1Password: Credential Broker
• O’Reilly Radar: Radar Trends to Watch, noviembre de 2026