La seguridad de los agentes es un problema de sistemas: desde la inyección de prompts hasta el control en tiempo de ejecución

Published: October 8, 2026

Diseñado para la velocidad: ~ 10 ms de latencia, incluso bajo carga

¡Una forma increíblemente rápida de crear, rastrear e implementar sus modelos!

Gestiona más de 350 RPS en solo 1 vCPU, sin necesidad de ajustes
Listo para la producción con soporte empresarial completo

Empieza con Truefoundry ahora Hable con el experto

Un importante estudio de 2026 sobre la seguridad de los agentes LLM llega a una conclusión que los equipos empresariales deberían tomarse muy en serio: una vez que un modelo puede utilizar herramientas, conservar el estado y actuar en nombre de otra persona, la seguridad deja de ser principalmente un problema de filtrado de prompts. Se convierte en un problema de sistemas que abarca el flujo de información, la autoridad delegada y el estado persistente.

Security Framework Notes and Key Takeaways

Source and independence note. This article is grounded in Yuchen Ling, Shengcheng Yu, Zhenyu Chen, and Chunrong Fang, Toward Secure LLM Agents: Threat Surfaces, Attacks, Defenses, and Evaluation (arXiv:2606.10749, revised August 23, 2026), which synthesizes 247 papers. The mapping from the survey's security framework to TrueForge and TrueFoundry products is TrueFoundry editorial analysis; the paper does not evaluate or endorse TrueFoundry.

The infrastructure thesis: secure agents need more than model-level safety. The runtime should make trust boundaries and state transitions explicit; shared gateways should enforce identity, access, policy, credentials, budgets, guardrails, and evidence at model, tool, and agent boundaries; and systems of record should remain authoritative for business state and side effects.

Key Takeaways

Prompt injection is only one part of the problem. The survey finds tool-mediated control-flow hijacking remains prominent, while persistent-state corruption and multi-agent propagation are increasingly important.
Agent security has three coupled dimensions. Information enters the agent, authority lets it act, and persistent state lets an attack outlive the original interaction.
Controls need to compose across layers. A sandbox, guardrail, approval workflow, or gateway is useful, but none establishes security for the entire agent by itself.
TrueForge maps to the runtime boundary. It provides the execution loop, context management, tools, sandboxing, approvals, sessions, and events for agents built on it.
TrueFoundry Gateways map to shared control planes. AI Gateway governs routed model calls; MCP Gateway governs routed tool/data access; Agent Registry establishes identity, ownership, and access for registered agents, while broader Agent Gateway controls can add quotas, budgets, and traces for routed agent traffic.
Provenance-aware state remains an application responsibility. Persisting events is not the same as proving the integrity or trustworthiness of every piece of memory or business state.

1. Por qué la seguridad de los agentes es diferente de la seguridad de los LLM

El estudio parte de un hecho arquitectónico sencillo: un agente LLM hace algo más que generar texto. Puede planificar, invocar herramientas, navegar, ejecutar código, actualizar el estado y coordinarse con otros agentes. Esas capacidades convierten las salidas del modelo en entradas para el flujo de control del software.

Eso cambia el modo de fallo. Una instrucción maliciosa oculta en una página web puede influir en una llamada a una herramienta posterior. El resultado de una herramienta envenenada puede convertirse en contexto para otra decisión. Una entrada de memoria comprometida puede sobrevivir a la sesión original. Una credencial delegada puede convertir un plan malintencionado en un efecto secundario real. En un sistema multiagente, la misma información contaminada puede propagarse más allá del agente que la encontró inicialmente.

Por lo tanto, el estudio estructura la seguridad de los agentes en torno a tres propiedades que interactúan entre sí:

Three interacting security properties for AI agents: information flow, delegated authority, and persistent state. — **Figura 1.** Síntesis editorial de TrueFoundry sobre el modelo de sistemas del estudio. El riesgo se agrava cuando la información no fiable se cruza con la autoridad delegada y el estado persistente.

La implicación útil es que la arquitectura de agentes seguros no debería preguntarse solo: "¿Hemos bloqueado el prompt malicioso?". También debería preguntarse: ¿qué podría influir ese contenido, qué autoridad podría ejercer la trayectoria resultante y qué estado podría dejar atrás dicha trayectoria?

2. La superficie de ataque recorre todo el ciclo de vida del agente

Ling y sus coautores utilizan un marco basado en el ciclo de vida y orientado a sistemas en lugar de una lista plana de nombres de ataques. Operativamente, es útil separar la ruta de acción principal (entrada, planificación, decisión, ejecución de herramientas y salida) de las superficies transversales como la memoria, la supervisión y la coordinación multiagente, ya que estas superficies pueden influir u observar múltiples etapas de la ejecución.

Agent lifecycle from input through planning, decision, tool execution, and output, with memory, monitoring, and coordination shown as cross-cutting security surfaces. — **Figura 2.** El ciclo de vida principal es Entrada → Planificación → Decisión → Ejecución de herramientas → Salida. La memoria, la supervisión y la coordinación son superficies transversales que pueden influir u observar múltiples etapas en lugar de ocurrir simplemente después.

Esta perspectiva del ciclo de vida también explica por qué las defensas pueden ser "débilmente composicionales", como señala el estudio. Un filtro de contenido puede bloquear una clase de texto malicioso, pero no hacer nada respecto a las credenciales con privilegios excesivos. Un entorno aislado (sandbox) puede contener la ejecución de código, pero no impedir una llamada a una API autorizada. Una puerta de aprobación puede detener un efecto secundario, pero no una escritura en memoria envenenada. Un registro puede hacer que un incidente sea observable sin evitarlo.

La seguridad, por tanto, surge de la composición de límites, privilegios, controles de estado y evidencias.

3. Mapeo del estudio a TrueForge y TrueFoundry

El mapeo de producto más claro no es "TrueFoundry resuelve la seguridad de los agentes". Es preguntarse qué parte del modelo de sistemas del estudio puede gobernar de forma realista cada capa.

‍

TrueFoundry AI Gateway ofrece una latencia de entre 3 y 4 ms, gestiona más de 350 RPS en una vCPU, se escala horizontalmente con facilidad y está listo para la producción, mientras que LitellM presenta una latencia alta, tiene dificultades para superar un RPS moderado, carece de escalado integrado y es ideal para cargas de trabajo ligeras o de prototipos.

Diseñado para la velocidad: ~ 10 ms de latencia, incluso bajo carga

Programe su demostración ahora