¿Un gran modelo de IA o muchos agentes? Visión de seguridad

En la IA empresarial, varios agentes pequeños que hacen cada uno una tarea con acceso limitado pueden ser más seguros y baratos que un gran modelo conectado a todo. La ventaja no es automática: procede de dar a cada agente los mínimos datos y poder que necesita, y trae consigo más piezas que gobernar.

Este artículo es para directivos que eligen una arquitectura de IA. Expone los argumentos de seguridad y coste a favor de dividir la IA en agentes acotados, los argumentos en contra y cómo gobernar cualquiera de los dos enfoques.

¿Qué diferencia hay entre un modelo único y muchos agentes?

En una arquitectura de modelo único, un modelo general responde a todas las peticiones y está conectado a todas las fuentes de datos y herramientas que pueda necesitar. En una arquitectura multiagente, agentes distintos se ocupan de tareas distintas, como leer facturas, comprobar proveedores o redactar respuestas, y se pasan el trabajo. Marcos de código abierto como AutoGen se crearon para construir aplicaciones con agentes que hablan entre sí.

La pregunta para una empresa no es cuál es más avanzada, sino cuál limita el daño cuando algo sale mal.

¿Son más seguros los sistemas multiagente?

Pueden serlo, por una razón principal: el radio de impacto. La guía de OWASP sobre autonomía excesiva atribuye el daño de una IA engañada a tres causas de fondo: funcionalidad excesiva, permisos excesivos y autonomía excesiva. Un modelo único conectado a todos los sistemas tiene las tres. Un agente que solo puede leer facturas, sin poder enviar correos ni mover dinero, tiene mucho menos de lo que abusar.

Esto importa porque el principal ataque contra los sistemas de IA consiste en darles instrucciones. OWASP sitúa la inyección de prompts en primer lugar entre los riesgos de las aplicaciones basadas en grandes modelos de lenguaje, y el Cost of a Data Breach Report 2026 de IBM halló que los incidentes de inyección de prompts contra la IA de las organizaciones causaron pérdidas medias de 5,89 millones de dólares. Si una instrucción inyectada llega a un agente con permisos estrechos, puede hacer menos.

La misma ficha de OWASP advierte también de la otra cara: en los sistemas multiagente, un agente par comprometido es en sí una vía de ataque. Los agentes que confían entre sí sin comprobaciones propagan el problema en lugar de contenerlo.

¿Es más barato usar muchos modelos pequeños?

A menudo, sí. Muchas peticiones son sencillas y no necesitan el modelo más grande. El estudio FrugalGPT probó a enviar cada consulta al modelo más barato que probablemente la respondiera bien y escalar solo cuando hiciera falta. En las tareas probadas, igualó el rendimiento del mejor modelo único con hasta un 98 % menos de coste.

El ahorro depende del trabajo. Un sistema que necesita razonamiento profundo en la mayoría de las peticiones ganará menos.

¿Qué riesgos tiene el enfoque multiagente?

• Complejidad. Más agentes significan más conexiones, más credenciales y más lugares donde configurar mal.
• Exageración. Gartner prevé que más del 40 % de los proyectos de IA agéntica se cancelarán antes de finales de 2027 y advierte del «agent washing», chatbots y automatizaciones existentes rebautizados como agentes. Estima que solo unos 130 de los miles de proveedores que dicen ofrecer IA agéntica son reales.
• Responsabilidad. Cuando una cadena de agentes toma una decisión, debe seguir estando claro qué persona responde de ella.

¿Cómo ayuda esto con la IA en la sombra?

La plantilla usa IA, esté aprobada o no. El Work Trend Index 2024 de Microsoft y LinkedIn halló que el 75 % de los trabajadores del conocimiento usa IA en el trabajo y que el 78 % de ellos lleva sus propias herramientas. Análisis: un catálogo de agentes aprobados y bien acotados para tareas habituales ofrece a la gente una opción mejor que herramientas no aprobadas, y es más fácil de defender que una prohibición.

¿Cómo se gobiernan los agentes de IA?

El marco de gestión de riesgos de IA del NIST se aplica a cada agente tanto como al sistema completo:

1. Gobernar: dar a cada agente un responsable con nombre y un propósito por escrito.
2. Mapear: registrar qué datos y herramientas puede alcanzar cada agente y qué pasa si se le engaña.
3. Medir: probar cada agente contra la inyección de prompts y la fuga de datos antes del lanzamiento y tras cada cambio.
4. Gestionar: conceder el mínimo acceso, exigir aprobación humana para acciones que saquen dinero, datos o mensajes de la empresa, y guardar registros.
5. Empezar en pequeño. Crear agentes solo donde el valor sea claro y retirar los que no se lo ganen.

Sobre el coste de saltarse estos pasos, véase ¿Recortar la gobernanza de la IA ahorra realmente dinero?. Sobre los riesgos de los agentes en ordenadores personales, véase Agentes de IA locales: privados, pero ¿son seguros?.

Preguntas frecuentes

¿Son los sistemas de IA multiagente más seguros que un gran modelo único?

Pueden serlo, si cada agente recibe solo los datos y herramientas que necesita su tarea, de modo que un ataque exitoso contra un agente alcance menos. No son seguros por defecto: más agentes significan más conexiones que proteger y más permisos que gestionar.

¿Cuestan menos de verdad los modelos pequeños?

A menudo. El estudio FrugalGPT halló que dirigir cada consulta al modelo más barato capaz de responderla podía igualar el rendimiento del mejor modelo único con hasta un 98 % menos de coste, en las tareas probadas.

¿Qué es la IA en la sombra?

Es el uso por parte de la plantilla de herramientas de IA que la empresa no ha aprobado. Microsoft y LinkedIn hallaron en 2024 que el 78 % de quienes usan IA en el trabajo llevan sus propias herramientas.

¿Debe toda empresa construir agentes de IA ya?

No. Gartner prevé que más del 40 % de los proyectos de IA agéntica se cancelarán antes de finales de 2027 por costes, valor poco claro o controles de riesgo débiles. Empiece donde un agente aporte valor claro.

Referencias

1. OWASP (2025), LLM06:2025 Excessive Agency — Funcionalidad, permisos y autonomía excesivos como causas de fondo; incluye agentes pares comprometidos en sistemas multiagente.
2. OWASP (2025), LLM01:2025 Prompt Injection — Inyección de prompts, incluida la indirecta a través de webs o archivos.
3. NIST (2023), Artificial Intelligence Risk Management Framework (AI RMF 1.0) — Las funciones Gobernar, Mapear, Medir y Gestionar.
4. Wu et al. (2023), AutoGen: Enabling Next-Gen LLM Applications via Multi-Agent Conversation — Un marco de código abierto para crear aplicaciones con varios agentes que conversan entre sí.
5. Chen, Zaharia and Zou (2023), FrugalGPT: How to Use Large Language Models While Reducing Cost and Improving Performance — Las cascadas de modelos igualaron al mejor modelo único con hasta un 98 % menos de coste en los experimentos publicados.
6. Microsoft and LinkedIn (2024), AI at Work Is Here. Now Comes the Hard Part (Work Trend Index) — El 75 % de los trabajadores del conocimiento usa IA en el trabajo; el 78 % de los usuarios de IA lleva sus propias herramientas.
7. Gartner (2025), Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 — Previsión de cancelaciones y «agent washing»; Gartner estima que solo unos 130 de los miles de proveedores de IA agéntica son reales.
8. IBM (2026), AI-powered adversaries and the enterprise risk challenge (Cost of a Data Breach Report 2026) — Los incidentes de inyección de prompts causaron pérdidas medias de 5,89 millones de dólares.