5 aprendizajes de la primera guía de mercado de Gartner para agentes guardianes...

El 25 de febrero de 2026, Gartner publicó su primera Guía de mercado para agentes guardianes, que marcó un hito importante para esta categoría emergente. Para aquellos que no estén familiarizados con los distintos Tipos de informes de Gartner , «una guía de mercado define un mercado y explica lo que los clientes pueden esperar que haga a corto plazo. La guía de mercado, que se centra en los mercados iniciales más caóticos, no califica ni posiciona a los vendedores dentro del mercado, sino que, por lo general, describe las características de los proveedores representativos que ofrecen ofertas en el mercado para ofrecer una visión más profunda del mercado en sí».

Y si Guardian Agent es un término desconocido, Gartner lo define de manera bastante simple. «Los agentes guardianes supervisan a los agentes de inteligencia artificial, lo que ayuda a garantizar que las acciones de los agentes se ajusten a los objetivos y los límites». Los líderes de seguridad e identidad empresariales pueden solicitar una distribución limitada copia de la Guía de mercado de Gartner para agentes guardianes.

Aprendizaje 1: Por qué es importante la tecnología Guardian Agent

Basta con leer las noticias, en el Wall Street Journal , El Financial Times , Forbes , Bloomberg , la lista continúa: para ver que los agentes de IA existen ahora. Pero el de Team8 Encuesta CISO Village de 2025 lo cuantificó, encontrando que:

• Casi el 70% de las empresas ya utilizan agentes de IA (cualquier sistema que pueda responder y actuar) en producción.
• Otro 23% está planificando despliegues en 2026.
• Dos tercios los están construyendo internamente.

Sin embargo, en la guía de mercado, Gartner afirma que esta rápida adopción empresarial está superando los controles de gobierno tradicionales. Esto aumenta el riesgo de que «a medida que los agentes de inteligencia artificial se vuelven más autónomos e integrados en los flujos de trabajo críticos, aumentan los riesgos de fallos operativos e incumplimientos».

Estamos de acuerdo, tras leer acerca de las recientes interrupciones de los proveedores de servicios en la nube derivadas de las acciones autónomas de los agentes de IA, lo que no nos sorprende. Lo que vemos en las primeras etapas de adopción es que, incluso más que con las cuentas de servicio tradicionales, el despliegue de agentes de inteligencia artificial crea más materia oculta sobre la identidad, es decir, la capa de identidad invisible y no gestionada. Incluye la autenticación de credenciales locales que se puede ofrecer. Los tokens que nunca caducan y que se olvidan fácilmente. Se otorga un permiso de acceso total, independientemente del usuario o el trabajo. Y mucho más.

No solo eso, como compartimos en nuestro artículo sobre «LMS perezosos», Los agentes de IA son, por diseño, buscadores de atajos; siempre buscan la ruta más eficiente para obtener un resultado satisfactorio para cada solicitud. Sin embargo, para ello, suelen aprovechar la información oculta sobre la identidad (cuentas huérfanas, inactivas o fichas sueltas, normalmente con credenciales locales en texto no cifrado y privilegios excesivos) para poder llegar al «final de su trabajo», independientemente de si se les debería haber permitido hacerlo. Así es como surgen los incidentes imprevistos o inimaginables.

Por si ese riesgo empresarial no fuera suficiente, observamos que el informe global sobre amenazas de CrowdStrike de 2026 va un paso más allá y afirma que «los adversarios también están explotando activamente los propios sistemas de IA, inyectando avisos maliciosos en las herramientas de GenAI de más de 90 organizaciones y abusando de las plataformas de desarrollo de IA».

Para obtener más información sobre cómo los agentes de IA expanden lo que denominamos «materia oscura de identidad» e incluso la explotan ellos mismos, consulta nuestra artículo anterior en The Hacker News .

Aprendizaje 2: Capacidades principales de los agentes guardianes

Por lo tanto, una vez establecida la necesidad de la supervisión de los agentes de IA, la siguiente pregunta para nosotros es cómo, técnicamente, abordar esa necesidad. Aquí es donde, en nuestra opinión, Gartner es extremadamente valioso: analizar el mercado y los proveedores para entender lo que es posible y centrarlo en lo que es más valioso, teniendo en cuenta el problema que hay que resolver.

La guía de mercado describe las características obligatorias en 3 áreas principales:

1. Visibilidad y trazabilidad de la IA: ¿Puede ver y seguir las acciones de cada agente de IA?
2. Garantía y evaluación continuas: ¿Cómo puede mantener la confianza de que los agentes permanecen a salvo de cualquier compromiso y cumplen con las normas en acción?
3. Inspección y cumplimiento del tiempo de ejecución: «garantizar que las acciones y los resultados de los agentes de IA coincidan con las intenciones, los objetivos y las políticas de gobierno definidos, evitando comportamientos no deseados».

Hay 9 características detalladas en estas áreas principales que se detallan en la guía de mercado. Muchas de ellas han ayudado a dar forma a muchos de los 5 principios que, en nuestra opinión, sustentan el uso seguro (y productivo) de los agentes de IA.

1. Empareje agentes de IA con patrocinadores humanos: Creemos que cada agente no solo debe ser identificado y monitoreado, sino también vinculado a un operador humano responsable.
2. Acceso dinámico y sensible al contexto: Creemos que los agentes de IA no deben tener privilegios permanentes y permanentes. Sus derechos deben tener una duración determinada, estar sujetos a cada sesión y limitarse al mínimo privilegio.
3. Visibilidad y auditabilidad: En nuestra opinión, la visibilidad no es solo «lo registramos». Es necesario vincular las acciones al alcance de los datos: a qué accedió el agente, qué modificó, qué exportó y si esa acción afectó a conjuntos de datos regulados o confidenciales.
4. Gobernanza a escala empresarial: En nuestra opinión, la adopción de agentes de IA debe extenderse tanto a los sistemas nuevos como a los heredados dentro de un único tejido de gobierno uniforme, de modo que los equipos de seguridad, cumplimiento e infraestructura no trabajen de forma aislada.
5. Compromiso con una buena higiene de la IAM: Como ocurre con todas las identidades, los flujos de autenticación, los permisos de autorización y los controles implementados, es fundamental mantener una higiene estricta, tanto en el servidor de aplicaciones como en el servidor MCP, para mantener a todos los usuarios dentro de los límites adecuados.

Aprendizaje 3: Diferentes enfoques de proveedores para Guardian AI

Dicho esto, incluso cuando los proveedores intentan abordar los mismos requisitos de Guardian Agent, a menudo resuelven el problema utilizando modelos arquitectónicos muy diferentes.

Gartner describe seis enfoques emergentes de entrega e integración que, para los adoptantes, son más importantes de lo que parecen a primera vista. No se trata solo de opciones de embalaje. Determinan dónde reside el control, cuánta visibilidad obtienes realmente, qué tan exigible es la póliza y qué parte del patrimonio de tu agente quedará fuera de la cobertura.

Esta es nuestra visión rápida de cada modelo:

• Plataformas de supervisión independientes suelen ser el lugar más fácil para empezar. Recopilan los registros, la telemetría y los eventos en un solo lugar y pueden proporcionar una visibilidad, una auditabilidad y un análisis significativos de la postura. Sin embargo, muchas de estas plataformas siguen inclinándose más hacia la observación que hacia la intervención. Esto es útil, pero no es lo mismo que el control. Si su postura ante el riesgo de la IA depende de detener las malas acciones antes de que ocurran, la visibilidad por sí sola no será suficiente.
• Puertas de enlace AI/MCP son el modelo más intuitivo: coloca un punto de control en el medio y fuerza el tráfico de agentes a través de él. Esto puede crear una potente capa centralizada para la supervisión y la aplicación de políticas entre varios agentes. Pero solo funciona si el tráfico pasa realmente por esa capa. En la práctica, las pasarelas pueden convertirse tanto en un cuello de botella como en un falso consuelo. Si los equipos las eluden o si las interacciones entre los agentes se producen fuera de la ruta establecida, la visibilidad se reduce rápidamente.
• Módulos de tiempo de ejecución integrados o en línea siéntese más cerca de la ejecución, dentro de la plataforma de agentes, de una plataforma de gestión de IA o de un proxy de LLM. Esto los hace atractivos porque suelen ser más fáciles de activar y pueden actuar con mayor rapidez. La desventaja es que suelen estar vinculados a una plataforma. Gobiernan el entorno en el que viven, no la empresa en general. Para los usuarios, esto significa un gran control local, pero una escasa uniformidad en toda la empresa si sus agentes abarcan varios grupos.
• Extensiones de capa de orquestación son atractivos en entornos en los que la orquestación ya actúa como capa operativa para los flujos de trabajo de varios agentes. Pueden añadir políticas, visibilidad y supervisión a nivel del flujo de trabajo. Pero también asumen que la orquestación es lo que debe tener un control significativo. Esto solo es cierto si la organización realmente dirige a sus agentes a través de una capa de orquestación común. Muchos no lo harán. Por lo tanto, para los adoptantes, este modelo es poderoso en la arquitectura correcta e irrelevante en la arquitectura incorrecta.
• Hybrid Edge: modelos en la nube es donde las cosas comienzan a ser más realistas. Como señala Gartner, son cada vez más importantes a medida que los ecosistemas de agentes se centran cada vez más en los terminales. Este modelo distribuye la supervisión entre los entornos de ejecución local y el análisis en la nube, lo que puede reducir la latencia y mejorar la relevancia del tiempo de ejecución. Para los usuarios, el valor es claro: evita centralizar en exceso todo en un punto de estrangulamiento. Pero también aumenta el nivel de complejidad. La gobernanza distribuida es más sólida en teoría, pero más difícil de implementar bien.
• Mecanismos de coordinación los estándares, las API y los ganchos son menos un modelo de implementación que el tejido conectivo entre ellos. Y hoy, ese tejido es inmaduro. Gartner deja claro que la integración entre las plataformas de agentes de IA sigue siendo difícil porque aún faltan interfaces estándar. Esto significa que quienes las adoptan deben tener cuidado de no confundir «es compatible con los estándares» con «funciona perfectamente en producción». La capa de coordinación es necesaria, pero aún no está lo suficientemente madura como para considerarla resuelta.

Independientemente del enfoque técnico, Gartner ofrece una orientación clara sobre la necesidad de algo más que la gobernanza de los agentes de IA individuales integrados en un único proveedor de nube, herramienta de identidad o plataforma de IA. En concreto, destacan lo siguiente:

«Una capa de agentes guardianes neutral y confiable con varios agentes guardianes que realizan funciones de supervisión independientes pero integradas refuerza el enrutamiento entre todos los proveedores. Por lo tanto, el agente guardián actúa como el mecanismo de aplicación universal que falta».

Aprendizaje 4: Los agentes guardianes se convertirán en una capa independiente de control empresarial

Quizás la conclusión más importante a largo plazo de la Guía de mercado es que los agentes guardianes no serán simplemente otra función integrada en las plataformas de IA. Tal y como lo leemos, Gartner es bastante explícito: «las empresas necesitarán capas de agentes guardianes independientes que operen en todas las nubes, plataformas, sistemas de identidad y entornos de datos».

¿Por qué? Porque los propios agentes de IA no viven en un solo lugar.

Los agentes interactúan con las API, las aplicaciones, los repositorios de datos, la infraestructura e incluso con otros agentes en varios entornos. Un proveedor de servicios en la nube puede supervisar a los agentes que se encuentran en su propio ecosistema, pero una vez que esos agentes recurren a las herramientas, delegan tareas u operan en varios proveedores, ninguna plataforma puede garantizar la gobernanza por sí sola.

Por eso creemos que Gartner sostiene que las organizaciones desplegarán cada vez más capas de agentes guardianes de propiedad empresarial que se sitúen por encima de las plataformas individuales y supervisen a los agentes en todo el entorno empresarial.

En otras palabras, la gobernanza no puede vivir solo dentro de las plataformas que crean o alojan a los agentes de IA. Tiene que vivir por encima de ellos.

En pocas palabras: el futuro de la gobernanza de los agentes no será la supervisión nativa de la plataforma. Será una supervisión propia de la empresa. Además, las organizaciones que adopten esa arquitectura en una fase temprana estarán mucho mejor posicionadas para ampliar la IA de forma segura mediante sus agencias, sin introducir una nueva generación de riesgos de automatización invisibles en toda su infraestructura, datos e identidades.

Aprendizaje 5: Todavía hay tiempo, pero no para siempre

A pesar de todo el entusiasmo por los agentes de IA y las grandes noticias de marca sobre la sustitución de puestos de trabajo, el mercado de los agentes guardianes aún es incipiente. Según Gartner, «en la actualidad, los despliegues de agentes guardianes consisten principalmente en prototipos o proyectos piloto, aunque las organizaciones avanzadas ya utilizan sus primeras versiones para supervisar a los agentes de inteligencia artificial».

Pero viene rápido. Señalan que «el mercado de los agentes guardianes, que abarca tecnologías para la supervisión, la seguridad y la gobernanza de los agentes de IA autónomos, está entrando en una fase de crecimiento acelerado, apuntalado por la rápida adopción de la IA de agencia en todos los sectores».

Francamente, haríamos una declaración similar sobre el mercado de agencias en general. Sí, hemos implementado agentes de inteligencia artificial en Orchid, tanto en la empresa como en el producto. Sin embargo, las organizaciones, incluidas nosotros, solo estamos arañando la superficie de lo que es posible. ¿Los empleados individuales han empezado a utilizar sus propios agentes de IA personales? Sí. ¿Muchos proveedores de tecnología ofrecen agentes de IA integrados, más allá del simple chatbot? Sí. ¿Algunos de los primeros en adoptarla han implementado una plataforma estándar corporativa para aumentar o reemplazar los puestos de trabajo? Sí (pero lo dije con algunas vacilaciones escépticas).

Sin embargo, como dice el refrán, es demasiado tarde para cerrar la puerta después de que el caballo haya salido del establo. Orchid Security recomienda garantizar la visibilidad de los agentes de IA lo antes posible y, por supuesto, establecer las mismas barreras de gestión de identidades y accesos que los usuarios humanos necesitan para guiar de manera similar a sus compañeros de IA, antes de que el caballo salga del establo.

Conclusión (lo diremos de nuevo)

Los agentes de IA están aquí. Ya están cambiando la forma en que operan las empresas.

El desafío no es si usarlos, sino cómo gobernarlos.

La adopción segura de los agentes de IA requiere aplicar los mismos principios que los profesionales de la identidad conocen bien (privilegios mínimos, gestión del ciclo de vida y auditabilidad) a una nueva clase de identidades no humanas que siguen este protocolo.

Si la materia oscura de la identidad es la suma de lo que no podemos ver o controlar, los agentes de IA no gestionados pueden convertirse en su fuente de más rápido crecimiento, si no se controlan. Las organizaciones que actúen ahora para sacarlos a la luz serán las que puedan avanzar con rapidez con la IA sin sacrificar la confianza, el cumplimiento o la seguridad. Esa es la razón Orchid Security está creando una infraestructura de identidad para eliminar la materia oscura y hacer que la adopción de Agent AI sea segura para su implementación a escala empresarial.