El 15 de septiembre de 2026, TechTimes resumió un hallazgo que debería inquietar a cualquier empresa con agentes en producción: las infracciones pueden ocurrir en el pipeline —planificación, memoria, invocación de herramientas— sin que los dashboards de seguridad, obsesionados con la respuesta final, enciendan una sola alarma. El trabajo académico detrás del titular es un Systematization of Knowledge (SoK) enviado a arXiv el 11 de septiembre por Md Jueal Mia, Yanzhao Wu, Selcuk Uluagac y M. Hadi Amini.
El título lo dice todo: «SoK: Rethinking Jailbreaking in the Era of Agentic AI: Attacks, Defenses, and Practical Consideration». A diferencia de un paper de ataque puntual, un SoK sintetiza literatura acumulada y la reencuadra. Aquí el reencuadre es brutal: tres supuestos de la práctica actual de seguridad de IA están equivocados, y los tres apuntan al mismo agujero de monitoreo.
Primer supuesto caído: «alineado» no implica «defendido». RLHF y Constitutional AI optimizan preferencias en la distribución de uso normal; la robustez adversarial exige resistencia al peor caso. Empíricamente, son propiedades ortogonales: un modelo más alineado puede ser, en ciertas clases de ataque, más vulnerable que uno menos alineado. Invertir solo en alineación no endurece progresivamente contra jailbreaks ingenierizados.
Segundo: las defensas que bajan la tasa de éxito de ataque lo hacen de forma inconsistente entre modelos, ataques y componentes, y cobrando costes reales de over-refusal y latencia. Para agentes enterprise de legal, customer ops o desarrollo, rechazar de más no es un matiz académico: es pérdida de utilidad. El framework seguridad-utilidad-eficiencia del paper busca hacer visible ese tradeoff.
Tercero —el más operativo—: la infraestructura mira casi solo la «final-response safety». Un agente agentic atraviesa capas de interacción, planificación/razonamiento, memoria, tool-use y comunicación inter-agente. Un adversario puede envenenar el plan, corromper memoria persistente o redirigir herramientas, y aun así producir un output que pasa filtros de contenido. El semáforo verde miente por construcción.
El ejemplo clásico es la inyección indirecta de prompts: un documento web recuperado durante la investigación inserta instrucciones hostiles; el agente exfiltra datos o sesga conclusiones; el informe final parece normal. Copilot workflow jailbreaks documentados por el Alan Turing Institute en julio de 2026 ya apuntaban, en un nicho de coding, a la misma familia de fallos de evaluación de un solo turno.
El paper aterriza en un momento político cargado. Días antes, Dario Amodei advirtió sobre enjambres de agentes capaces de apoderarse de partes de internet en seis a doce meses. Una encuesta enterprise citada en la misma cobertura de TechTimes sugería que el 77% carece de inventarios verificados de agentes y solo el 19% tiene un gate automatizado que bloquee releases malas —mientras el 74% «confía» en que sus tests atraparán fallos.
La regulación europea empieza a reflejar el diagnóstico: el AI Act empuja logging de eventos intermedios relevantes para riesgo, no solo outputs finales. Salesforce AI Control Plane (11 de septiembre) y Zscaler Agentic SOC (9 de septiembre) se venden precisamente como observabilidad por acción. El paper no diseña la arquitectura completa de defensa; sí dice qué dejar de fingir.
Acciones inmediatas que Neural Pulse traduce del SoK: (1) no usar ASR de salida como proxy de seguridad de pipeline; (2) exigir trazas de sesión por capa a vendors; (3) least privilege en cada herramienta —un plan comprometido no debe poder invocar capacidades innecesarias. Nada de eso cierra el gap por completo; reduce superficie y mejora detección.
Límites honestos: es un SoK empírico y de síntesis, no una certificación de un producto concreto; las cifras de encuesta enterprise vienen de la cobertura periodística de la misma semana y deben leerse como contexto, no como el dataset del paper. No afirmamos que todo agente en producción esté ya comprometido.
Para CISO y responsables de IA, el cambio de mentalidad es el entregable. Red-teaming de un prompt y una respuesta certificaba chatbots; no certifica agentes multipaso. Quien exhiba un badge de safety 2024 como prueba de readiness agentic 2026 está, según este cuerpo de evidencia, mirando el indicador equivocado.
Cierre del 15 de septiembre: mientras labs pelean por el relato existencial, el SoK de Mia et al. baja al cableado. Si Amodei teme enjambres, este paper explica por qué tus dashboards podrían aplaudir mientras el enjambre planifica. La próxima inversión de seguridad debería comprar trazas intermedias —no otro filtro cosmétique de la última frase.
El género SoK tiene una ventaja pedagógica: obliga a la comunidad a mirar el bosque de ataques y defensas en lugar de un CVE aislado. Mia et al. aprovechan esa forma para decir a CISOs que el bosque agentic no se vigila con cámaras apuntando solo a la puerta de salida —la metáfora de final-response monitoring— mientras el almacén de memoria y el taller de herramientas arden.
La agenda de investigación que el paper reclama —evaluación de seguridad a nivel de trayectoria de sesión completa— aún no existe a escala comercial. Hasta que exista, las organizaciones serias deberían asumir incertidumbre alta y compensar con least privilege agresivo, segmentación de herramientas y humanos en el loop para acciones irreversibles (pagos, despliegues, borrados, exfiltración potencial).
