Cada vez hay más llaves de acceso que no pertenecen a una persona. Qué implican para una empresa y qué conviene revisar primero.
TL;DR: Una identidad de máquina es la credencial con la que un programa, un servidor o un agente de IA entra a un sistema corporativo. Palo Alto Networks calcula que ya hay 109 por cada persona, y en un ataque investigado por Unit 42 fueron la puerta de entrada.
Una identidad de máquina es la credencial que permite a un programa o a un agente de IA entrar a un sistema. Puede ser una clave de API, un token o una cuenta de servicio. Según Palo Alto Networks, ya hay 109 por cada persona en las empresas.
Un ataque que investigó Unit 42, la unidad de inteligencia de amenazas de la compañía, muestra por qué el dato importa. Un atacante con agentes de IA llegó a credenciales de administrador en menos de 10 horas tras encontrar llaves guardadas en repositorios de código.
¿Qué es una identidad de máquina?
Una identidad de máquina es la credencial que usa una aplicación, un servidor o un agente de IA para acceder a sistemas sin intervención humana.
Piensa en la llave con la que una aplicación le pide datos a otra. O en la cuenta que un servidor usa para guardar copias de seguridad. Ninguna es una persona, pero ambas tienen permisos reales sobre información de la empresa.
Los agentes de IA suman un caso nuevo. Un agente no solo consulta datos: puede ejecutar acciones con los permisos que se le entreguen. Por ejemplo, leer archivos o modificar configuraciones.
| Identidad humana | Identidad de máquina o agente | |
|---|---|---|
| Quién la usa | Un empleado, proveedor o cliente | Una aplicación, un servidor o un agente de IA |
| Cómo se protege | Contraseña y verificación en dos pasos | Claves de API, tokens o certificados |
| Punto débil frecuente | Un correo de engaño | Credenciales escritas en el código |
¿Cuántas identidades de máquina hay por persona?
Palo Alto Networks calcula que hay 109 identidades de máquina y de IA por cada humano en las empresas (mayo 2026).
La cifra sale del informe 2026 Identity Security Landscape. 9 de cada 10 de los más de 2.900 responsables de ciberseguridad consultados reportaron una brecha ligada a identidad en el último año.
Conviene leerla con cuidado. Palo Alto vende una plataforma para gobernar identidades humanas, de máquina y de IA, así que el dato viene de una empresa con interés comercial. La página del informe tampoco precisa quién hizo la encuesta ni en qué fechas.
¿Qué pasó en el ataque de 10 horas?
Unit 42 documentó en septiembre de 2026 un ataque donde un atacante, con IA y agentes, entró a una red en menos de 10 horas.
En el caso publicado por Unit 42, la misma intrusión habría requerido unas dos semanas de varios equipos de red team. Es una estimación de la compañía, no una medición.
Los agentes usaron más de 50 técnicas del marco MITRE ATT&CK y no necesitaron ninguna vulnerabilidad nueva. Buscaron tokens y contraseñas de servicio en repositorios de código, llegaron al gestor de secretos y de ahí tomaron credenciales de administrador.
Después usaron claves robadas de la nube para invocar los modelos de IA de la propia víctima. La puerta de entrada no fue una falla sofisticada: fueron credenciales de máquina escritas en el código.
¿Qué son los privilegios permanentes?
Un privilegio permanente es un acceso que una identidad conserva siempre, aunque no lo use; lo contrario es darlo solo cuando se necesita.
Palo Alto Networks reporta que el 61% de las solicitudes de acceso privilegiado todavía se atiende con privilegios permanentes y no bajo demanda (mayo 2026). Si alguien roba esa credencial, hereda el acceso mientras exista.
Sindy Acosta, Country Manager de Palo Alto Networks para Colombia, Ecuador y Venezuela, propone cambiar las preguntas de seguridad. Ya no basta con “¿quién eres?”: hay que preguntar “¿qué puedes hacer?”, “¿realmente necesitas hacerlo?” y “¿por cuánto tiempo?”.
Esa lógica se conoce como cero privilegios permanentes (zero standing privilege). Cada identidad recibe el acceso justo, en el momento justo y por el tiempo justo. Palo Alto la promueve con Idira, su plataforma de identidad lanzada en mayo de 2026.
¿Qué significa esto para empresas en Colombia?
Las empresas en Colombia reciben en promedio 4.090 ciberataques por semana, la segunda cifra más alta de Latinoamérica (Check Point Research, septiembre 2026).
Noticias RCN reprodujo el dato el 7 de septiembre de 2026 sin precisar el periodo medido. Colombia queda detrás de Brasil (4.118 ataques semanales por empresa) y por delante de México (3.548).
Esa cifra mide ataques en general, no robos de credenciales de máquina. No encontramos un dato para Colombia sobre cuántas identidades de máquina maneja una empresa. Por eso el 109 a 1 sirve como referencia global, no como diagnóstico local.
Acosta sostiene que, en una región que digitaliza e incorpora IA a gran velocidad, la seguridad debe avanzar al mismo ritmo que la innovación.
ENTÉRATE: Accenture advertía en 2025 cómo la IA y los deepfakes cambiarían la ciberseguridad.
¿Qué conviene revisar primero?
Unit 42 recomienda inventariar las claves de API, las integraciones de IA y los accesos de cada identidad, y aplicar el mínimo privilegio necesario.
Con base en las recomendaciones de Unit 42, estos pasos son un punto de partida, no una evaluación de seguridad completa:
- Hacer un inventario de claves de API, tokens, cuentas de servicio y agentes de IA con acceso hoy.
- Sacar las credenciales del código y guardarlas en un gestor de secretos con acceso restringido.
- Cambiar los privilegios permanentes por accesos temporales, concedidos solo cuando se necesitan.
- Registrar y limitar lo que hace cada agente de IA, y vigilar picos de peticiones o usos inesperados de modelos.
Preguntas frecuentes sobre identidades de máquina
¿Qué es una identidad de máquina?
Es la credencial que usa una aplicación, un servidor o un agente de IA para entrar a un sistema sin que lo haga una persona. Puede ser una clave de API, un token, un certificado o una cuenta de servicio.
¿Un agente de IA cuenta como identidad?
Sí. Un agente que accede a sistemas o ejecuta acciones lo hace con credenciales propias, igual que una aplicación. Por eso Palo Alto Networks habla de identidades humanas, de máquina y de IA en conjunto.
¿Cuántas identidades de máquina hay por cada persona?
Palo Alto Networks calcula 109 por cada humano en las empresas (mayo 2026). Es una cifra global de una empresa que vende soluciones de identidad, y no hay un dato equivalente para Colombia.
¿Por qué son un riesgo los privilegios permanentes?
Porque una identidad con acceso permanente lo conserva aunque no lo use. Si un atacante roba esa credencial, puede usarla hasta que alguien la detecte y la revoque.
¿Cómo entró el atacante en el caso de Unit 42?
Sus agentes de IA encontraron tokens y contraseñas de servicio en repositorios de código, llegaron al gestor de secretos y tomaron credenciales de administrador. No usaron ninguna vulnerabilidad nueva.
¿Por dónde puede empezar una empresa pequeña?
Con un inventario de las claves, cuentas de servicio y agentes de IA que tienen acceso, y sacando las credenciales del código. Son dos pasos que no exigen comprar una plataforma.
¿Sabe tu empresa cuántas claves de API y cuentas de servicio tiene activas hoy?
