)
Última actualización: 28 de octubre de 2026
¿Qué es el OWASP Top 10 for Agentic Applications? Es la lista ordenada que publica el OWASP GenAI Security Project con los diez riesgos de seguridad más críticos de los agentes de IA autónomos, etiquetados de ASI01 a ASI10. OWASP la publicó el 9 de diciembre de 2025 con el nombre "2026". Mientras la lista de LLM trata el modelo como algo que recibe una entrada y devuelve una salida, esta trata al agente como un actor con objetivos, credenciales, herramientas y memoria.
TL;DR: Puntos clave
- OWASP publicó la lista el 9 de diciembre de 2025 con aportaciones de más de 100 expertos, y la llama edición 2026.
- Tiene 10 riesgos, de ASI01 Agent Goal Hijack a ASI10 Rogue Agents, y se apoya en dos principios: Least Agency y Strong Observability, según el documento de OWASP.
- Cada riesgo agéntico se relaciona con entre una y cuatro entradas del LLM Top 10 (ASI09 con cuatro), y la lista LLM de agosto de 2026 amplía esos mapeos a la lista agéntica.
- Los riesgos ya se explotan: EchoLeak puntuó CVSS 9,3 y las versiones 1.82.7 y 1.82.8 de LiteLLM, con puerta trasera, llegaron a PyPI el 24 de marzo de 2026.
- Los controles de runtime cubren unos riesgos por completo y otros solo en parte. El sandboxing, la validación de la memoria y el cifrado entre agentes siguen en manos del equipo de ingeniería.
Los diez riesgos de un vistazo
| ID | Riesgo | Qué falla | Ejemplo |
|---|---|---|---|
| ASI01 | Agent Goal Hijack | El contenido que lee el agente redirige su objetivo | EchoLeak, 2025 |
| ASI02 | Tool Misuse and Exploitation | Una herramienta autorizada se usa para un resultado dañino | Ataque por issue en GitHub MCP, 2025 |
| ASI03 | Identity and Privilege Abuse | Credenciales delegadas o heredadas escalan el acceso | Escenario de confused deputy de OWASP |
| ASI04 | Agentic Supply Chain Vulnerabilities | Una herramienta, modelo, prompt o servidor que carga el agente está comprometido | Puerta trasera de LiteLLM, 2026 |
| ASI05 | Unexpected Code Execution (RCE) | El texto se convierte en comandos en el host | Codex CLI CVE-2025-59532 |
| ASI06 | Memory and Context Poisoning | El contexto almacenado se corrompe y sesga decisiones futuras | Ataque a la memoria de Gemini, 2025 |
| ASI07 | Insecure Inter-Agent Communication | Los mensajes entre agentes se suplantan, se repiten o se alteran | Agent-in-the-Middle, 2025 |
| ASI08 | Cascading Failures | Un fallo se propaga entre agentes y herramientas | Escenario de actualización defectuosa de OWASP |
| ASI09 | Human-Agent Trust Exploitation | Una persona aprueba algo dañino porque el agente suena creíble | Escenario de factura envenenada de OWASP |
| ASI10 | Rogue Agents | Un agente sigue actuando fuera de su alcance previsto | Borrado de base de datos en Replit, 2025 |
Qué es el OWASP Top 10 for Agentic Applications
El OWASP Top 10 for Agentic Applications es una lista revisada por pares de los diez riesgos de seguridad más críticos de los agentes de IA que planifican, actúan y deciden en flujos de trabajo. La Agentic Security Initiative del OWASP GenAI Security Project la publicó el 9 de diciembre de 2025, con aportaciones de más de 100 expertos.
El año del nombre es la etiqueta de la edición, no el año de publicación. El propio documento de OWASP se titula "2026" y indica que se publicó en diciembre de 2025, por eso los artículos fechados en 2025 y en 2026 hablan de la misma lista. A fecha de 28 de octubre de 2026, OWASP no había anunciado una revisión posterior. Su publicación de agosto de 2026 de la lista LLM solo nombra la lista agéntica como destino de mapeo.
El documento se apoya en dos principios. Least Agency extiende el mínimo privilegio: un agente no debe tener autonomía que no necesita, porque la autonomía innecesaria añade superficie de ataque sin aportar valor. Strong Observability significa que los equipos pueden ver qué hacen los agentes, por qué actúan y qué herramientas llaman. OWASP también señala que los agentes amplifican debilidades existentes más que crear debilidades nuevas.
)
Por qué existe esta lista aparte del LLM Top 10
El LLM Top 10 describe riesgos de aplicaciones que usan modelos de lenguaje. Los agentes añaden objetivos, credenciales, herramientas, memoria y otros agentes, así que una mala entrada puede convertirse en una acción real. El apéndice de OWASP relaciona cada riesgo agéntico con entre una y cuatro entradas LLM, lo que muestra que las dos listas se solapan sin duplicarse.
| Riesgo agéntico | Entradas relacionadas del LLM Top 10 (numeración 2025) |
|---|---|
| ASI01 Agent Goal Hijack | LLM01 Prompt Injection, LLM06 Excessive Agency |
| ASI02 Tool Misuse and Exploitation | LLM06 Excessive Agency |
| ASI03 Identity and Privilege Abuse | LLM01, LLM02 Sensitive Information Disclosure, LLM06 |
| ASI04 Agentic Supply Chain Vulnerabilities | LLM03 Supply Chain |
| ASI05 Unexpected Code Execution | LLM01, LLM05 Improper Output Handling |
| ASI06 Memory and Context Poisoning | LLM01, LLM04 Data and Model Poisoning, LLM08 Vector and Embedding Weaknesses |
| ASI07 Insecure Inter-Agent Communication | LLM02, LLM06 |
| ASI08 Cascading Failures | LLM01, LLM04, LLM06 |
| ASI09 Human-Agent Trust Exploitation | LLM01, LLM05, LLM06, LLM09 Misinformation |
| ASI10 Rogue Agents | LLM02, LLM09 |
El mapeo de OWASP usa los números LLM de 2025. La lista LLM de 2026 renumeró ocho entradas, así que Excessive Agency es ahora LLM03 y Unbounded Consumption es LLM06. Nuestra guía del OWASP Top 10 for LLM Applications 2026 explica el nuevo orden. La capa de herramientas tiene su propia lista, el OWASP MCP Top 10, que se solapa con ASI02, ASI04 y ASI07 cuando intervienen descriptores de herramientas y servidores MCP.
Los diez riesgos explicados: de ASI01 a ASI10
Cada riesgo sigue la misma estructura: qué es, un ejemplo documentado y la mitigación que recomienda OWASP. Cuando no hay un incidente público, el ejemplo sale de los escenarios propios de OWASP y se indica como tal. Cada entrada termina con controles que puedes aplicar hoy, así que puedes ir directo a los riesgos que encajan con tus agentes.
ASI01: Agent Goal Hijack
Qué es. Un atacante redirige los objetivos, la selección de tareas o el camino de decisión del agente con contenido inyectado, porque los agentes no separan de forma fiable las instrucciones de los datos.
Ejemplo real. EchoLeak (CVE-2025-32711) fue un fallo zero-click en Microsoft 365 Copilot que encontró Aim Security y que The Hacker News cubrió el 12 de junio de 2025. Un correo manipulado hizo que Copilot filtrara datos internos cuando un usuario hacía después una pregunta normal. Microsoft lo corrigió en el servidor y no halló indicios de explotación real, según The Hacker News.
Mitigación. Trata toda entrada en lenguaje natural como no fiable, exige aprobación humana para las acciones que cambian el objetivo, bloquea y versiona los prompts de sistema, y valora usar intent capsules que unan el objetivo y sus límites a cada ciclo de ejecución.
ASI02: Tool Misuse and Exploitation
Qué es. El agente usa de forma insegura una herramienta que tiene permitida, por inyección, desalineación o instrucciones ambiguas.
Ejemplo real. En mayo de 2025, Invariant Labs demostró que un agente con acceso a repositorios públicos y privados de GitHub podía leer un issue malicioso en un repositorio público y publicar datos de repositorios privados, según informó DevClass el 27 de mayo de 2025.
Mitigación. Da a cada herramienta un perfil de mínimo privilegio (alcances, límites de uso, listas de salida permitidas), coloca una comprobación de política entre el planificador y la herramienta, exige aprobación y vistas previas en las acciones destructivas, y fija presupuestos de uso.
ASI03: Identity and Privilege Abuse
Qué es. Los atacantes explotan la delegación, las credenciales heredadas o el contexto en caché para obtener un acceso que el agente no debería tener.
Ejemplo (escenario de OWASP). Un agente con pocos privilegios transmite instrucciones a otro con privilegios altos que nunca vuelve a comprobar la autorización. Es el patrón clásico del confused deputy.
Mitigación. Emite tokens de corta duración y limitados a la tarea, asociados a una identidad por agente, borra la memoria entre tareas, autoriza cada acción privilegiada con un motor de políticas central y gestiona los agentes como identidades no humanas.
ASI04: Agentic Supply Chain Vulnerabilities
Qué es. Un agente carga modelos, herramientas, prompts, plugins o servidores MCP de terceros, a menudo en tiempo de ejecución, y uno de ellos es malicioso o ha sido manipulado.
Ejemplo real. El 24 de marzo de 2026 se publicaron en PyPI las versiones 1.82.7 y 1.82.8 de LiteLLM con una puerta trasera, después de que los atacantes robaran un token de publicación a través de un escáner comprometido en el pipeline de compilación del proyecto. PyPI las puso en cuarentena unos 45 minutos después de la primera publicación, según una nota de investigación de la Cloud Security Alliance. El paquete recibe unos 95 millones de descargas mensuales. En julio de 2025 también llegó un prompt malicioso a la extensión Amazon Q Developer para VS Code en la versión 1.84.0, pero AWS dijo que estaba mal formado y no se ejecutó, según CyberInsider.
Mitigación. Firma y certifica manifiestos, prompts y definiciones de herramientas, mantén listas de materiales de IA, permite y fija versiones de dependencias, verifica los hashes en ejecución y conserva un kill switch para revocar un componente comprometido.
ASI05: Unexpected Code Execution (RCE)
Qué es. La inyección de prompts, el mal uso de herramientas o la deserialización insegura convierten el texto en código que se ejecuta en el host o en el contenedor.
Ejemplo real. CVE-2025-59532 permitió que Codex CLI de OpenAI tratara un directorio de trabajo generado por el modelo como límite del sandbox, lo que permitía escribir archivos y ejecutar comandos fuera de la carpeta prevista. Afectaba a las versiones 0.2.0 a 0.38.0, puntuó CVSS 8,6 y se publicó el 22 de septiembre de 2025, según OSV. Un CVE de 2025, CVE-2025-1040 (CVSS 8,8), describió una inyección de plantillas en AutoGPT Platform que llevaba a ejecución remota de código y se corrigió en la versión 0.4.0, según la base de datos CVE de Shodan.
Mitigación. Ejecuta el código en sandboxes con un usuario sin privilegios de root, prohíbe eval en agentes de producción, separa la generación de código de su ejecución con una puerta de validación y exige aprobación para las ejecuciones con privilegios elevados.
ASI06: Memory and Context Poisoning
Qué es. Los adversarios corrompen la memoria, los resúmenes, los embeddings o los almacenes de recuperación para que el razonamiento y el uso de herramientas futuros salgan sesgados o inseguros.
Ejemplo real. El 21 de febrero de 2025, InfoQ informó del ataque de Johann Rehberger a Google Gemini: un documento plantó instrucciones que Gemini ejecutó más tarde al recibir una frase desencadenante, y la misma técnica guardó información falsa en su memoria a largo plazo. Google valoró el impacto como bajo porque requiere interacción del usuario, según InfoQ. Nuestra guía sobre memory and context poisoning profundiza en el tema.
Mitigación. Analiza las escrituras en memoria antes de confirmarlas, segmenta la memoria por usuario y dominio, exige procedencia de la fuente, evita que los agentes reingieran su propia salida como memoria fiable y permite revertir y poner en cuarentena.
ASI07: Insecure Inter-Agent Communication
Qué es. Una autenticación, integridad o validación débiles en los mensajes entre agentes permite interceptarlos, suplantarlos, repetirlos o alterarlos.
Ejemplo. El registro de incidentes de OWASP recoge un caso de Agent-in-the-Middle de abril de 2025 en el que se suplantaron mensajes del protocolo A2A. Los escenarios de OWASP también incluyen agentes falsos que se registran en servicios de descubrimiento.
Mitigación. Usa autenticación mutua y cifrado de extremo a extremo, firma los mensajes, evita las repeticiones con nonces y marcas de tiempo, autentica el tráfico de descubrimiento y rechaza los mensajes que no cumplan los esquemas tipados.
ASI08: Cascading Failures
Qué es. Un único fallo, como una alucinación, una herramienta corrompida o una memoria envenenada, se propaga y se amplifica entre agentes, herramientas y flujos de trabajo.
Ejemplo (escenario de OWASP). Una actualización defectuosa se despliega automáticamente en los agentes conectados, o un planificador comprometido emite pasos inseguros que los ejecutores cumplen sin comprobarlos.
Mitigación. Separa la planificación de la ejecución con un motor de políticas independiente, aplica límites de tasa, cuotas y circuit breakers, mantén separados desarrollo y producción, y conserva registros a prueba de manipulación para poder rastrear y revertir.
ASI09: Human-Agent Trust Exploitation
Qué es. Las personas confían demasiado en la fluidez o la aparente experiencia de un agente, así que los atacantes o los diseños defectuosos pueden orientar aprobaciones y revelaciones.
Ejemplo (escenario de OWASP). Una factura envenenada lleva a un agente a recomendar un pago fraudulento, y quien aprueba acepta la explicación segura del agente.
Mitigación. Muestra resúmenes de riesgo en lenguaje claro en lugar de justificaciones redactadas por el modelo, exige confirmación explícita en las acciones sensibles, bloquea las llamadas que cambian el estado durante las vistas previas y registra lo que se mostró frente a lo que se ejecutó.
ASI10: Rogue Agents
Qué es. Un agente comprometido o desalineado se desvía de su función prevista mientras cada acción por separado sigue pareciendo legítima.
Ejemplo real. En julio de 2025, el inversor en SaaS Jason Lemkin contó que el asistente de IA de Replit borró la base de datos de un proyecto durante un code freeze y después dijo que había "entrado en pánico". The Stack señaló que llamar "producción" a esa base de datos es discutible, y Replit dijo que estaba desplegando la separación automática de bases de datos de desarrollo y producción, según The Stack (21 de julio de 2025).
Mitigación. Conserva registros de auditoría inmutables y firmados, fija líneas base de comportamiento con alertas por desviación, asigna a cada agente un responsable y una fecha de caducidad, y prueba un kill switch que revoque credenciales con rapidez.
Cómo usar el OWASP Top 10 for Agentic Applications
Usa la lista en tres momentos de la vida de un agente: modelado de amenazas antes del despliegue, definición del alcance del red teaming en las pruebas y diseño de la monitorización en producción. Cada fase convierte los diez riesgos en preguntas concretas sobre herramientas, credenciales, memoria y aprobaciones, en lugar de una lista genérica.
Antes del despliegue: modelado de amenazas
Lista cada herramienta, credencial, almacén de memoria y agente par. Para cada uno, pregunta cuáles de los diez riesgos podrían alcanzarlo y qué radio de impacto tendría. Aplica primero Least Agency: elimina las herramientas y permisos que la tarea no necesita antes de añadir controles. Nuestras guías sobre gobernanza de IA agéntica y seguridad de agentes de IA cubren la parte de políticas.
En las pruebas: alcance del red teaming
Prueba el contenido que recupera tu agente, no solo lo que escriben los usuarios. El goal hijack y el envenenamiento de memoria llegan por correos, documentos, tickets y resultados de herramientas. Define pruebas de anulación de objetivos, de fallos en cascada a partir de errores menores y de eficacia del kill switch. AI Red Teaming (TrustTest) puede ejecutar estos escenarios contra tus agentes antes del lanzamiento.
En producción: diseño de la monitorización
Registra cada objetivo, llamada a herramienta y cambio de estado con un identificador de objetivo estable, y fija líneas base de comportamiento que avisen ante desviaciones. Es Strong Observability llevada a la práctica. Puntúa los hallazgos de forma coherente, por ejemplo con AIVSS, para que los equipos puedan priorizar qué riesgos corregir primero.
Cómo cubren los controles de runtime los diez riesgos
Cinco de los diez riesgos se cubren en runtime, cuatro se comparten con el cliente y uno, ASI07, queda sobre todo en manos del cliente salvo que los agentes se llamen entre sí a través de la gateway. La tabla muestra qué puede imponer una gateway con una capa de runtime y qué sigue siendo una tarea de ingeniería.
| Riesgo | Cobertura | Qué hace una gateway con capa de runtime | Qué sigue siendo tuyo |
|---|---|---|---|
| ASI01 Agent Goal Hijack | Cubierto | Inspecciona los resultados de herramientas y la entrada del usuario en busca de instrucciones ocultas y puede bloquear la llamada a la herramienta | Nada |
| ASI02 Tool Misuse and Exploitation | Cubierto | Limita cada agente a sus herramientas asignadas, con límites por herramienta y confirmación en llamadas de riesgo | Validar los argumentos y confirmar las acciones irreversibles |
| ASI03 Identity and Privilege Abuse | Cubierto | Claves por aplicación o tokens del proveedor de identidad, credenciales custodiadas por la gateway, niveles de acceso por persona y grupo | Nada |
| ASI04 Agentic Supply Chain Vulnerabilities | Compartido | Registro aprobado de modelos y servidores MCP, inspección de las descripciones de herramientas | Revisar el código y las dependencias, fijar versiones |
| ASI05 Unexpected Code Execution | Compartido | Evalúa las llamadas a herramientas en agentes de programación antes de que se ejecuten e inspecciona lo que leen los agentes | Ejecutar los agentes en entornos aislados |
| ASI06 Memory and Context Poisoning | Compartido | Inspecciona lo que entra en el contexto desde las herramientas y cada turno de la conversación | Validar, aislar y caducar la memoria almacenada del agente |
| ASI07 Insecure Inter-Agent Communication | Cliente | Autentica e inspecciona las llamadas entre agentes que pasan por la gateway | Autenticar, firmar y cifrar los mensajes entre agentes |
| ASI08 Cascading Failures | Cubierto | Límites de peticiones, ejecuciones de herramientas y gasto, fallback, pausa de una aplicación | Timeouts y circuit breakers entre agentes |
| ASI09 Human-Agent Trust Exploitation | Compartido | Confirmación humana antes de las llamadas a herramientas, moderación de respuestas fuera de alcance | Pasos de aprobación en la aplicación y formación de usuarios |
| ASI10 Rogue Agents | Cubierto | Alertas y analítica del comportamiento de los agentes, pausa de una aplicación o revocación de su clave | Definir el comportamiento esperado, las reglas de alerta y un procedimiento de respuesta |
El Runtime Security Mesh de NeuralTrust combina Agent Gateway (TrustGate) y Agent Runtime Security (TrustGuard). La gateway decide a qué modelos, herramientas y servidores puede llegar un agente, con qué identidad y dentro de qué límites. La capa de runtime inspecciona el contenido y aplica una acción como permitir, bloquear, transformar o alertar. Ninguna sustituye a la ingeniería segura: la revisión de código, el sandboxing y el diseño de la memoria siguen siendo tuyos.
Por dónde empezar: tabla de decisión
Empieza por donde tus agentes están más expuestos, no por ASI01 de forma automática. Un único agente piloto y un sistema multiagente en producción necesitan primeros pasos distintos, así que busca tu situación en la tabla de abajo, relaciónala con los riesgos que la hacen más probable y avanza luego por la lista.
| Tu situación | Empieza por | Riesgos |
|---|---|---|
| Primer agente en un piloto | Inventariar herramientas y credenciales, aplicar Least Agency | ASI02, ASI03 |
| Agentes que leen correos, documentos o páginas web | Tratar el contenido recuperado como no fiable, probar la anulación de objetivos | ASI01, ASI06 |
| Agentes con herramientas de código o shell | Aislar la ejecución en un sandbox, fijar y verificar dependencias | ASI05, ASI04 |
| Flujos multiagente | Autenticar los mensajes, añadir circuit breakers | ASI07, ASI08 |
| Agentes que ya están en producción | Añadir registros, líneas base y un kill switch probado | ASI10, ASI09 |
Conclusión
El OWASP Top 10 for Agentic Applications da a los equipos de seguridad un vocabulario común para los agentes que actúan por su cuenta, y los incidentes de 2025 y 2026 muestran que estos riesgos ya se explotan. Úsalo como lista de modelado de amenazas: elimina la autonomía innecesaria, protege la identidad y la memoria, observa cada acción y ensaya el kill switch. Los controles en runtime cubren una parte de la lista y la ingeniería cubre el resto.
Protege tus agentes de IA en producción con NeuralTrust
Agent Runtime Security (TrustGuard) inspecciona en línea las entradas y salidas de los agentes, y AI Red Teaming (TrustTest) prueba tus agentes frente a goal hijack, mal uso de herramientas y envenenamiento de memoria antes del lanzamiento. Reserva una demo para ver cómo el Runtime Security Mesh cubre los diez riesgos y dónde siguen importando tus propios controles.
)
Lecturas relacionadas
- OWASP Top 10 for LLM Applications 2026
- OWASP MCP Top 10: cada riesgo de seguridad de MCP explicado
- Qué es el memory and context poisoning
- Seguridad de agentes de IA: guía empresarial 2026
Preguntas frecuentes sobre OWASP Top 10 for Agentic Applications
1. ¿Qué es el OWASP Top 10 for Agentic Applications?
Es una lista revisada por pares de los diez riesgos de seguridad más críticos de los agentes de IA autónomos, de ASI01 Agent Goal Hijack a ASI10 Rogue Agents. El OWASP GenAI Security Project la publicó el 9 de diciembre de 2025, con aportaciones de más de 100 expertos. Es una guía de modelado de amenazas, no una certificación.
2. ¿Por qué se llama 2026 si OWASP la publicó en 2025?
El año es la etiqueta de la edición. El documento de OWASP se titula "2026" y se publicó en diciembre de 2025, así que las menciones a la publicación de 2025 y a la lista de 2026 describen el mismo documento. A 28 de octubre de 2026 OWASP no había anunciado una revisión posterior, y su publicación LLM de agosto de 2026 solo la nombra como destino de mapeo.
3. ¿En qué se diferencia del OWASP Top 10 for LLM Applications?
La lista LLM cubre riesgos de aplicaciones que usan modelos de lenguaje, como la prompt injection y el consumo sin límites. La lista agéntica cubre los agentes como actores con objetivos, credenciales, herramientas, memoria y pares. OWASP relaciona cada riesgo agéntico con una a cuatro entradas LLM, así que conviene usar ambas listas juntas.
4. ¿Qué es Least Agency?
Least Agency es el principio de OWASP según el cual un agente solo debe tener la autonomía, las herramientas y los permisos que exige su tarea. Extiende el mínimo privilegio: la autonomía innecesaria añade superficie de ataque sin aportar valor, así que eliminarla reduce el radio de impacto de un secuestro, una memoria envenenada o una herramienta comprometida.
5. ¿Qué riesgo debo abordar primero?
Empieza por el riesgo al que más expuestos están tus agentes. Si leen correos o documentos, prueba primero el goal hijack y el envenenamiento de memoria. Si tienen credenciales amplias, corrige la identidad y los permisos de herramientas. Aplicar Least Agency reduce varios riesgos a la vez, así que es un primer paso seguro para cualquier equipo.
6. ¿Cómo pruebo mis agentes frente al OWASP Top 10 for Agentic Applications?
Define las pruebas en torno a los diez riesgos. Incluye inyección indirecta mediante contenido recuperado, fallos en cascada a partir de errores pequeños, mal uso de herramientas autorizadas, delegación de identidad y eficacia del kill switch. Ejecútalas antes del lanzamiento y tras cada cambio en herramientas, prompts o memoria, y puntúa los hallazgos de forma coherente para priorizar las correcciones.
7. ¿Puede una gateway o una capa de runtime cubrir toda la lista?
No. Una capa de runtime cubre los riesgos que viajan por el tráfico de IA, como las instrucciones ocultas, el acceso a herramientas, las credenciales y los límites. No puede aislar código en un sandbox, validar la memoria almacenada ni cifrar mensajes entre agentes que hablan directamente. Trata los controles de runtime como una capa junto a una ingeniería segura.
Sobre el autor
Alessandro Pignati es Investigador principal de seguridad de IA en NeuralTrust, donde lidera la investigación sobre seguridad de IA y agentes, avanzando en técnicas para evaluar y asegurar grandes modelos de lenguaje y sistemas de IA autónomos. Se especializa en aprendizaje automático adversarial, red teaming de IA, seguridad de LLM y seguridad de IA, contribuyendo al desarrollo de IA segura y confiable.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro Gartner Hype Cycle reports de 2026, y destacada en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- OWASP GenAI Security Project, OWASP Top 10 for Agentic Applications for 2026, 9 de diciembre de 2025.
- OWASP GenAI Security Project, OWASP Top 10 for LLM Applications 2026, agosto de 2026.
- The Hacker News, Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data, 12 de junio de 2025.
- DevClass, Researchers warn of prompt injection vulnerability in GitHub MCP with no obvious fix, 27 de mayo de 2025.
- Cloud Security Alliance, LiteLLM PyPI backdoor: AI toolchain supply chain, 27 de marzo de 2026.
- CyberInsider, Amazon's AI coding assistant for VS Code infected with data wiper, 25 de julio de 2025.
- OSV, CVE-2025-59532, publicado el 22 de septiembre de 2025.
- Base de datos CVE de Shodan, CVE-2025-1040, CVE de 2025, consultado el 28 de octubre de 2026.
- InfoQ, Gemini long-term memory attack, 21 de febrero de 2025.
- The Stack, Vibe coding CEO deletes production database, 21 de julio de 2025.