Se insta a las empresas de Web3 a tratar a los agentes de IA como miembros de la plantilla

La responsabilidad recae en los gestores humanos

La inteligencia artificial (IA) agentiva está transformando de forma radical la ciberseguridad, la lucha contra el blanqueo de capitales y el cumplimiento normativo, que pasan de ser meros conjuntos de herramientas de apoyo a convertirse en actores operativos autónomos. Más allá del filtrado pasivo de alertas, estos sistemas ejecutan razonamientos en varios pasos, integran API externas y toman medidas correctivas en tiempo real con una intervención humana mínima.

Según un nuevo informe de la empresa de seguridad Web3 Certik, las organizaciones deben ahora gestionar la IA agencial como un miembro autónomo de la plantilla, asignándole funciones explícitas, una autoridad delimitada y una estricta responsabilidad de supervisión humana.

Certik sostiene que esta transición es necesaria a medida que la IA evoluciona desde la detección de amenazas hasta la ejecución de respuestas integrales ante incidentes, la generación de parches y la supervisión de transacciones. Sin embargo, dado que las organizaciones y los responsables que la implementan conservan el 100 % de la responsabilidad legal y operativa, Certik hace hincapié en que los agentes de IA deben operar bajo una autoridad delimitada, protocolos de escalación explícitos y una supervisión humana designada.

La apuesta de Certik por un modelo de plantilla se produce en un contexto de aumento de los ataques a velocidad de máquina, una persistente escasez global de talento en ciberseguridad y el aumento de las sanciones por blanqueo de capitales, que superaron los 900 millones de dólares solo en el primer semestre de 2025.

Aunque la IA se presenta como una defensa fundamental contra la ciberdelincuencia, los críticos sostienen que los delincuentes están aprovechando capacidades idénticas, lo que neutraliza esas ventajas. Dado que los ciberdelincuentes actúan más rápido que las fuerzas del orden tradicionales y los defensores corporativos, su adopción de agentes de IA acelerará inevitablemente la frecuencia, la velocidad y la sofisticación de los ataques. A este reto se suma la clásica asimetría de la ciberseguridad: los atacantes solo necesitan un vector abierto para tener éxito, mientras que los defensores deben proteger todos los frentes.

Los defensores conservan la ventaja de jugar en casa

Natalie Newson, investigadora sénior de blockchain en Certik, rechaza la idea de que los defensores estén siempre tratando de ponerse al día. Aunque reconoce que la IA refuerza efectivamente a los actores maliciosos, destaca que los defensores conservan una ventaja fundamental que los atacantes nunca podrán replicar: la ventaja de jugar en casa.

«Podemos ver el código antes de que se publique, sabemos cuál es el comportamiento normal de un protocolo y podemos aplicar primero el mismo proceso de detección de vulnerabilidades basado en IA a nuestros propios sistemas. Especialmente en Web3, todo lo que hace un atacante queda registrado en un libro mayor público, por lo que su reconocimiento, su financiación y sus transacciones de prueba dejan un rastro que las máquinas saben interpretar muy bien», explicó Newson a Bitcoin.com News.

No obstante, Newson advierte de que una defensa periódica no puede hacer frente a un ataque continuo. Para sobrevivir, la seguridad debe evolucionar de puntos de control estáticos a sistemas dinámicos que se adapten a la velocidad de las amenazas entrantes. Los adversarios también se benefician de una ausencia total de fricciones normativas: al no tener que soportar la carga administrativa del cumplimiento normativo ni los controles de riesgo, pueden lanzar ataques al instante. Sin embargo, aunque Newson reconoce que esto da ventaja a los atacantes, insiste en que la velocidad por sí sola no garantiza el éxito. «Un atacante puede moverse a la velocidad de una máquina, pero aún así tiene que pasar por la cadena para recibir el pago, y ahí es donde entran en juego la supervisión y los cortacircuitos», argumentó Newson.

Explicó que la supervisión en tiempo real de las transacciones pendientes permite a los sistemas automatizados detectar los exploits que se están produciendo y pausar los contratos al instante, conteniendo así los ataques sin esperar a la intervención humana. Cuando está protegida por estrictas medidas de seguridad y se combina con auditorías tradicionales y verificaciones formales, la respuesta automatizada cambia la economía de las amenazas al obligar a los atacantes a superar a las máquinas en lugar de a los humanos.

Auditoría obligatoria del razonamiento de la IA

Por su parte, el informe de Certik concluye que, si bien la IA agentiva ha cruzado el umbral que separa la asistencia en la toma de decisiones de su ejecución, la adopción de estos sistemas sin una gobernanza proporcional no hace más que sustituir las limitaciones de capacidad manual por riesgos sistémicos complejos.

Para abordar esto, el informe insta a las organizaciones a delimitar explícitamente la ejecución de los agentes de la supervisión humana en todos los organigramas y descripciones de puestos. Además, aboga por que el registro y la auditoría continuos de los registros de razonamiento interno de un agente de IA se conviertan en una disciplina de cumplimiento obligatoria.