)
Última actualización: 21 de octubre, 2026
¿Qué hace realmente un AI gateway para IA agéntica? Se coloca entre tus agentes y todo lo que llaman (modelos, herramientas, servidores MCP y otros agentes) y aplica identidad, políticas, registro y presupuestos en cada petición. Sin él, cada agente lleva sus propias credenciales y nadie puede ver ni detener una cadena de llamadas una vez que arranca.
TL;DR: puntos clave
- Según Gartner (2025), más del 40 % de los proyectos de IA agéntica se cancelarán antes de que acabe 2027 por costes, valor poco claro y controles de riesgo débiles.
- La autorización en MCP es opcional en la especificación, y un estudio de julio de 2026 halló que cerca del 92 % de 414 servidores MCP públicos no tenía OAuth.
- Anthropic (2025) midió que los sistemas multiagente consumen unas 15 veces los tokens de un chat, así que el presupuesto debe ir por agente.
- El Top 10 agéntico de OWASP lista diez riesgos, entre ellos el secuestro de objetivos y la comunicación insegura entre agentes, y todos pasan por un gateway.
- La Market Guide for AI Gateways (2025) de Gartner describe tres arquetipos de proveedor y separa los AI gateways de la gestión de APIs y de los model routers.
| Capa de control | Pregunta que responde | Referencia |
|---|---|---|
| Identidad y acceso | ¿Qué agente puede llamar a qué herramienta, y para quién? | Autorización MCP, OAuth 2.1 |
| Política de herramientas y agentes | ¿Qué puede hacer con esa herramienta? | OWASP LLM06, ASI02 |
| Confianza entre agentes | ¿Quién es el otro agente? | A2A Agent Cards |
| Observabilidad | ¿Qué pasó y en qué orden? | OpenTelemetry GenAI |
| Coste | ¿Cuánto puede gastar esta cadena? | OWASP LLM10 |
| Protección en runtime | ¿Es seguro actuar sobre este contenido? | OWASP LLM01 |
¿Por qué los flujos multiagente se quedan pequeños para un gateway tradicional?
Porque una petición de usuario se convierte en decenas de decisiones automáticas. Un agente planificador llama a un modelo, el modelo elige una herramienta, la herramienta devuelve un texto que lee otro agente y cada salto puede gastar dinero o tocar datos. Un API gateway clásico ve peticiones aisladas y no sabe a qué flujo pertenecen.
Según Gartner (2025), más del 40 % de los proyectos de IA agéntica se cancelarán antes de que acabe 2027 por costes crecientes, valor poco claro y controles de riesgo insuficientes. Dos de esas tres causas son problemas de gateway.
El coste se puede medir. Anthropic (2025) indica que los agentes usan unas cuatro veces los tokens de un chat y los sistemas multiagente unas 15 veces. En su evaluación, el uso de tokens explicó por sí solo cerca del 80 % de la varianza del rendimiento, así que gasto y calidad van de la mano.
La Market Guide for AI Gateways (2025) de Gartner separa con claridad los AI gateways de las plataformas de gestión de APIs, los model routers y las herramientas de observabilidad de LLM. Además cita MCP y A2A como estándares que condicionan la arquitectura.
¿Qué tráfico controla un AI gateway para IA agéntica?
Un AI gateway para IA agéntica gobierna tres tipos de tráfico: llamadas a modelos, llamadas a herramientas y servidores MCP, y llamadas entre agentes. Cada uno necesita las mismas cuatro comprobaciones: quién llama, qué puede hacer, qué pasó y cuánto costó.
| Tráfico | Ejemplo | Control del gateway |
|---|---|---|
| Agente a modelo | Un planificador pide a un modelo el siguiente paso | Enrutado por proveedor, guards de prompt y respuesta, límites de tokens |
| Agente a herramienta | Un agente llama a un servidor MCP de CRM o de tickets | Identidad por agente, allow-lists de herramientas, validación de argumentos |
| Agente a agente | Un orquestador delega en un agente de investigación | Autenticación mutua, delegación acotada, propagación de trazas |
La guía de A2A para entornos empresariales sitúa la identidad en la capa HTTP y hace que los servidores anuncien sus esquemas de autenticación en una Agent Card. También recomienda gestión de APIs para los agentes expuestos fuera de la organización, es decir, un punto de política que tu equipo controla.
Mantén el gateway como única vía de salida. Si un agente puede llegar a una herramienta sin pasar por él, la política solo existe sobre el papel.
Cómo hemos evaluado estos controles
Hemos asociado cada control a un estándar público (las especificaciones de MCP y A2A, las listas de OWASP y OpenTelemetry). Solo hemos conservado afirmaciones con una fuente fechada y enlazada. Las cifras de un solo autor o publicadas por proveedores se indican como tales.
)
¿Cómo controlas la identidad y el acceso a herramientas entre agentes?
Dale a cada agente su propia identidad y autoriza cada llamada a una herramienta según esa identidad y el usuario que hay detrás. Las claves de API compartidas hacen que todos los agentes parezcan iguales en los registros y permiten que un agente comprometido use cualquier herramienta.
La especificación de MCP (2026-07-28) hace la autorización opcional. Cuando un servidor HTTP la soporta, actúa como resource server de OAuth 2.1. Valida que cada token se emitió para él como audiencia y no debe aceptar ni reenviar tokens pensados para otros recursos. También define una respuesta 403 de insufficient scope, para que los clientes pidan permisos más acotados y ampliables.
Los controles opcionales suelen quedarse apagados. Un estudio de julio de 2026 sobre 414 servidores MCP expuestos a internet halló que cerca del 92 % no tenía OAuth. Además, 687 instancias de herramientas exponían ejecución de shell sin controles de acceso. Es un estudio de un solo autor sobre servidores HTTP públicos, así que toma las cifras como una señal, no como un censo. Nuestra guía de autenticación MCP explica el flujo y qué es un servidor MCP cubre lo básico.
Un gateway cierra esa brecha. Termina la autenticación una sola vez, asigna a cada agente roles acotados y rechaza las llamadas fuera de su allow-list, aunque el servidor de destino no tenga autenticación propia.
¿Cómo consigues observabilidad y control de costes en cadenas de agentes?
Traza cada flujo de principio a fin y asigna un presupuesto a cada agente. Los logs de servicios separados no explican por qué un agente eligió una herramienta, y la factura mensual no dice qué bucle la causó.
OpenTelemetry publica unas convenciones semánticas de GenAI que incluyen spans de agentes y frameworks, y la guía de A2A pide a clientes y servidores propagar el contexto de traza. Un único trace ID desde el primer prompt hasta la última llamada a una herramienta convierte una revisión de incidente en una consulta.
| Señal | Por qué importa | Cómo la captura el gateway |
|---|---|---|
| Traza por flujo | Reconstruye el camino de decisión | Un trace ID en llamadas a modelos, herramientas y agentes |
| Tokens por agente | Detecta bucles descontrolados (OWASP LLM10) | Contadores y límites duros por agente y por ejecución |
| Llamadas a herramientas por ejecución | Revela el mal uso de herramientas a tiempo | Límites de frecuencia y alertas de anomalías |
| Llamadas denegadas | Mide la cobertura de la política | Registradas con motivo e identidad del agente |
Fija límites en tres niveles: por llamada, por ejecución y por agente al día. Cuando un planificador entra en bucle, el límite por ejecución lo frena en minutos en lugar de que el límite diario lo pare horas después.
Seguridad y gobernanza: ¿qué puede fallar entre agentes y herramientas?
La mayoría de los fallos de los agentes ocurren en las conexiones, no en el modelo. El Top 10 de OWASP para aplicaciones agénticas (diciembre de 2025) nombra diez riesgos. Entre ellos están el secuestro de objetivos (ASI01), el mal uso de herramientas (ASI02), el abuso de identidad y privilegios (ASI03), la comunicación insegura entre agentes (ASI07) y los fallos en cascada (ASI08). El Top 10 de OWASP para aplicaciones LLM (2025) añade la prompt injection (LLM01), la agencia excesiva (LLM06) y el consumo sin límites (LLM10).
Un gateway es el punto natural de control, porque todas las peticiones pasan por él. La prompt injection indirecta es el caso más claro: instrucciones ocultas en el resultado de una herramienta o en un documento llegan a un agente que confía en el texto. Analizar la salida de las herramientas antes de que llegue al agente y bloquear las llamadas que nunca se le concedieron reduce el radio de impacto.
| Riesgo | Por dónde entra | Control del gateway |
|---|---|---|
| Mal uso de herramientas (ASI02, LLM06) | Un agente tiene más acceso del que necesita su tarea | Allow-lists por agente y validación de argumentos |
| Abuso de identidad (ASI03) | Las claves compartidas dejan que un agente actúe como otro | Credenciales acotadas y de corta duración por agente |
| Prompt injection (LLM01) | Instrucciones ocultas en un documento o resultado de herramienta | Análisis de entradas y salidas antes de que el agente actúe |
| Consumo descontrolado (LLM10) | Un agente en bucle sigue llamando a modelos y herramientas | Límites de tokens y de llamadas por ejecución |
NeuralTrust integra esto en su Agent Gateway (TrustGate), parte de la plataforma Runtime Security Mesh junto con Agent Runtime Security (TrustGuard). TrustGate incluye más de 200 servidores MCP prediseñados detrás de un único endpoint autenticado y aplica políticas de guards a prompts, respuestas y resultados de herramientas. Funciona self-hosted en tu propia infraestructura o como servicio gestionado en la UE o en EE. UU. La AI Gateway ya tiene un plan gratuito, así que puedes probar políticas en un flujo real antes de comprometerte.
La gobernanza necesita evidencias además de controles. Guarda las llamadas denegadas, las aprobaciones y las versiones de las políticas en el registro, y combina las acciones de alto impacto con la aprobación de una persona (human-in-the-loop).
¿Qué configuración encaja con tu equipo?
| Equipo | Empieza con | Añade después |
|---|---|---|
| Desarrollador individual o startup | Un gateway alojado con plan gratuito y una identidad por agente | Presupuestos de tokens y trazas |
| Equipo de plataforma con datos regulados | Un gateway self-hosted en tu entorno y allow-lists de herramientas | Flujos de aprobación y exportación de auditoría |
| Equipo de seguridad con muchos servidores MCP | Un catálogo MCP central detrás de OAuth 2.1 | Análisis de salidas y alertas de anomalías |
Conclusión
Un AI gateway para IA agéntica es el punto donde se juntan identidad, política de herramientas, trazas y presupuestos. Gartner espera que muchos proyectos agénticos fallen por coste y riesgo, y las especificaciones de MCP y A2A dejan controles clave en tus manos. Pon un único gateway en la única vía que pueden usar los agentes. Dale a cada agente una identidad y vigila las llamadas denegadas, los tokens y las trazas desde el primer día.
Protege flujos multiagente en producción con NeuralTrust
Pon identidad, política y presupuestos delante de cada llamada de un agente. Empieza gratis con la AI Gateway y conecta hoy tu primer servidor MCP.
)
Comparativas relacionadas
Preguntas frecuentes sobre AI gateway para IA agéntica
1. ¿Qué es un AI gateway para IA agéntica?
Es un punto de control entre los agentes y los modelos, herramientas, servidores MCP y otros agentes a los que llaman. Autentica a cada agente, aplica política de herramientas, registra cada llamada y fija presupuestos de tokens. Así, un flujo multiagente sigue siendo visible y acotado de la primera petición a la última.
2. ¿En qué se diferencia de un API gateway?
Un API gateway autoriza peticiones a un servicio y trata cada una por separado. Un AI gateway para agentes autoriza por herramienta, sigue el flujo a lo largo de los pasos, analiza prompts y resultados de herramientas y cuenta tokens. La guía de Gartner de 2025 los trata como categorías distintas.
3. ¿Necesito un MCP gateway aparte?
No necesariamente. Las funciones de un MCP gateway, como la autenticación central, el catálogo de herramientas y las allow-lists, pueden vivir en el mismo gateway que enruta las llamadas a modelos. Un solo plano de política es más fácil de auditar que dos. Separarlos solo tiene sentido si cada tipo de tráfico lo gestiona un equipo distinto.
4. ¿Un AI gateway frena la prompt injection?
Reduce el riesgo, pero no lo elimina. Analizar entradas y resultados de herramientas detecta muchos ataques y el acceso con mínimo privilegio limita el daño de los demás. OWASP sitúa la prompt injection en primer lugar (LLM01), así que combina el gateway con aprobación humana en las acciones de alto impacto.
5. ¿Puedo alojar un AI gateway en mi infraestructura?
Sí. Muchos equipos mantienen el gateway dentro de su red para controlar la residencia de datos y los registros de auditoría. TrustGate de NeuralTrust funciona self-hosted en tu infraestructura o como servicio gestionado en la UE o en EE. UU., así que puedes empezar alojado y migrar después.
6. ¿Cómo presupuesto los tokens de los flujos multiagente?
Calcula unas 15 veces los tokens de un chat, como midió Anthropic en 2025, y aplica límites por llamada, por ejecución y por agente al día. Avisa cuando una ejecución llegue a su límite, porque un bucle que se detiene pronto sale más barato que uno que termina.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, destacada en cuatro informes Gartner Hype Cycle de 2026 y presente en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Sede en Barcelona con oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- Gartner, Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 (25 de junio de 2025)
- Gartner, Market Guide for AI Gateways (13 de octubre de 2025)
- Model Context Protocol, Authorization specification (versión 2026-07-28)
- N. Padilla, Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale (31 de julio de 2026)
- Anthropic, How we built our multi-agent research system (13 de junio de 2025)
- OWASP GenAI Security Project, Top 10 for Agentic Applications (9 de diciembre de 2025)
- OWASP GenAI Security Project, Top 10 for LLM Applications 2025
- A2A Protocol, Enterprise-ready features
- OpenTelemetry, Semantic conventions for GenAI agent and framework spans