Checklist de auditoría de seguridad para un Agent de IA

Revisa aplicación y Agent como un único sistema: identidad, autenticación, autorización, aislamiento, datos, tools MCP/API, memoria, archivos, pagos, secretos, logs, límites, aprobaciones y recuperación.

Acordad por escrito alcance, cuentas de prueba, métodos permitidos, horario, condiciones de parada, manejo de pruebas y aprobación del propietario antes de cualquier fase activa.

El resultado es una foto fechada del riesgo, no un certificado absoluto. Corrige por impacto empresarial y repite las pruebas tras cambios importantes en acceso, tools, memoria, pagos, modelos o infraestructura.

Ruslan Siniaiev realizó la primera revisión: documentó ocho vulnerabilidades, incluida una crítica con impacto directo en el negocio. El enlace de este Artículo abre su LinkedIn.

Cada fase terminó con un PDF, pasos de reproducción y pruebas. Se publica el método y la lección, no endpoints afectados, cadenas de ataque, credenciales ni detalles de corrección.

La IA acelera el desarrollo, pero un código plausible aún puede ocultar fallos de autorización y lógica. La revisión independiente, la corrección y el retest siguen siendo responsabilidad humana.

Prostir permite crear, monetizar y desplegar Agents propios sin programar todo el backend SaaS. Acorta el camino, pero no elimina la revisión de acceso, tools, datos, pagos y lógica.

Los Agents nuevos son privados por defecto, con OAuth primero, alternativas scoped explícitas, propietario exacto y tools acotadas. Son controles que deben probarse.

La primera auditoría externa hizo visibles riesgos concretos antes de ampliar el lanzamiento. La siguiente evidencia es la corrección y un retest independiente.