# Agentes de IA locales: privados, pero ¿son seguros?

> La IA en tu ordenador deja los datos fuera de la nube, pero un agente que lee archivos y ejecuta comandos abre puertas a atacantes. Cómo usarla con seguridad.

URL: https://www.clarityailab.com/es/insights/the-local-ai-paradox-ultimate-privacy-or-a-hackers-backdoor/

Ejecutar IA en tu propio ordenador mantiene tus datos lejos de los proveedores de nube, pero no te hace estar a salvo. En cuanto un agente de IA local puede leer tus archivos, abrir tu correo y ejecutar comandos, cualquiera que pueda ponerle texto delante puede intentar dirigirlo, y ese es un problema de seguridad que la privacidad por sí sola no resuelve.

Este artículo explica por qué personas y empresas llevan la IA a sus propias máquinas, qué salió mal con un agente local popular y cómo obtener la ventaja de la privacidad sin abrir una puerta trasera.

## ¿Por qué ejecutar la IA en local?

Por privacidad y control. Un modelo que se ejecuta en tu dispositivo no envía tus prompts, documentos o código a un proveedor. Aplicaciones de escritorio como [Jan](https://www.jan.ai/), una alternativa gratuita y de código abierto a ChatGPT, permiten descargar modelos abiertos y ejecutarlos en local.

También hay una razón laboral. El [Work Trend Index 2024](https://www.microsoft.com/en-us/worklab/work-trend-index/ai-at-work-is-here-now-comes-the-hard-part) de Microsoft y LinkedIn encontró que el 78 % de quienes usan IA en el trabajo llevan sus propias herramientas. Algunas organizaciones ven la IA local como una forma de dar IA a su plantilla sin enviar datos de la empresa a servicios externos.

## ¿Es segura la IA local?

Una aplicación de chat local que solo responde preguntas tiene una superficie de ataque pequeña. Un *agente* local es distinto. Actúa: lee archivos, navega, envía mensajes y ejecuta comandos. Eso convierte dos riesgos conocidos en graves.

**Inyección indirecta de prompts.** Unos investigadores [describieron en 2023](https://arxiv.org/abs/2302.12173) cómo instrucciones ocultas en contenido que lee una IA, como una página web o un documento, pueden tomar el control de su comportamiento. [OWASP sitúa la inyección de prompts en primer lugar](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) entre los riesgos de las aplicaciones basadas en grandes modelos de lenguaje, y señala que las inyecciones indirectas llegan desde fuentes externas como webs o archivos.

**Autonomía excesiva.** El riesgo [LLM06](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/) de OWASP nombra las causas de fondo del daño cuando un agente es engañado: funcionalidad excesiva, permisos excesivos y autonomía excesiva. Un agente con acceso total a un portátil tiene las tres.

Los costes son reales. El [Cost of a Data Breach Report 2026](https://www.ibm.com/think/x-force/2026-cost-of-a-data-breach-ai-adversaries-enterprise-risk) de IBM halló que los incidentes de inyección de prompts contra la IA de una organización causaron pérdidas medias de 5,89 millones de dólares.

## ¿Qué pasó con Clawdbot y OpenClaw?

A principios de 2026, un asistente de IA de código abierto, llamado sucesivamente Clawdbot, Moltbot y OpenClaw, se hizo viral porque podía realizar tareas por sí mismo en el ordenador del usuario. Los investigadores de seguridad pronto dieron la alarma. [Tenable](https://www.tenable.com/blog/agentic-ai-security-how-to-mitigate-clawdbot-moltbot-openclaw-vulnerabilities) describió cómo, como la herramienta lee correos, mensajes de chat y páginas web, los atacantes podían enviar mensajes que la engañaran para ejecutar comandos no autorizados, y cómo las claves que guarda el agente podían robarse para apoderarse de cuentas.

El consejo de Tenable era claro: limitar las claves y tokens del agente para dar solo el acceso justo e impedir acciones peligrosas; y, como el agente puede añadirse a canales de grupo donde lee mensajes no fiables, dar acceso solo a personas y canales de confianza.

*Análisis:* la lección no es que una herramienta estuviera mal hecha. Cualquier agente que mezcle entradas no fiables, datos privados y capacidad de actuar está expuesto del mismo modo, se ejecute donde se ejecute.

## Privacidad o seguridad: ¿hay que elegir?

No, pero hay que diseñar para ambas. El procesamiento local protege los datos frente al proveedor. El aislamiento y los permisos limitados protegen los datos frente al agente. La nube no es automáticamente peor: un servicio bien gestionado puede aplicar vigilancia y parches que un portátil personal nunca recibe. La elección correcta depende de los datos, la tarea y quién mantendrá la instalación.

## ¿Cómo usar agentes de IA locales de forma segura?

1. **Separar el chat de la acción.** Usar un modelo local sencillo para preguntas privadas; activar herramientas de agente solo cuando haga falta.
2. **Conceder el mínimo acceso.** Dar al agente una carpeta de trabajo, no todo el disco, y ninguna contraseña o clave guardada que no necesite.
3. **Aislarlo.** Ejecutar los agentes en un contenedor o máquina virtual para que un agente engañado no alcance el resto del sistema.
4. **Mantener a una persona en el circuito.** Exigir aprobación antes de que ejecute comandos, envíe mensajes o se conecte a internet.
5. **Limitar la entrada no fiable.** No dejar que un agente con herramientas potentes lea canales públicos o correos desconocidos.
6. **Actualizar y vigilar.** Aplicar rápido las actualizaciones de seguridad y registrar lo que hace el agente.
7. **Fijar una política de empresa.** Si la plantilla trae su propia IA, ofrecerle herramientas aprobadas y reglas claras en lugar de una prohibición que esquivará.

Para estructurar los sistemas de IA de modo que una parte comprometida no alcance todo, véase [¿Un gran modelo o muchos agentes?](/insights/the-monolith-is-dead-why-your-2026-ai-strategy-must-be-a-hive-mind/).

### ¿Es la IA local más privada que la IA en la nube?

Normalmente sí, en cuanto a los datos: un modelo que se ejecuta en tu dispositivo no envía tus prompts ni tus archivos a un proveedor. Pero privacidad no es seguridad. Un agente con acceso a tus archivos, tu correo y la línea de comandos todavía puede ser engañado para filtrarlos.

### ¿Qué es la inyección indirecta de prompts?

Es un ataque en el que se esconden instrucciones en contenido que lee la IA, como una página web, un correo o un archivo. OWASP sitúa la inyección de prompts como el primer riesgo de las aplicaciones basadas en grandes modelos de lenguaje.

### ¿Qué falló con Clawdbot y OpenClaw?

El agente de código abierto llamado sucesivamente Clawdbot, Moltbot y OpenClaw generó alertas de seguridad a principios de 2026. Tenable describió inyecciones indirectas de prompts a través de correos, chats y páginas web, y robos de claves de API, y aconsejó dar acceso al agente solo a personas y canales de confianza.

### ¿Cómo ejecutar un agente de IA local de forma segura?

Darle los mínimos permisos que necesite, ejecutarlo en un contenedor o máquina virtual aislados, exigir tu aprobación antes de que ejecute comandos o envíe datos, mantenerlo lejos de contenido no fiable cuando sea posible y tenerlo actualizado.