Esta guía ordena los vectores de ataque reales, el stack de auditoría, los servicios vendibles y las tarifas que el mercado español paga en 2026 por seguridad de agentes de IA.
Las empresas han pasado de «probar la IA» a «desplegar agentes»: asistentes que leen el correo, navegan por webs internas y externas, ejecutan herramientas conectadas vía Model Context Protocol y encadenan tareas completas sin que un humano revise cada paso. Ese salto de autonomía convierte a cada agente en una nueva superficie de ataque, y la mayoría de los equipos de seguridad tradicionales no sabe por dónde auditarla: el pentest clásico no cubre un sistema cuyo comportamiento cambia con cada prompt. Para un freelance tech con pie en ambos mundos, desarrollo de agentes y seguridad, esa laguna es una especialidad completa, con demanda creciente y tarifas por encima del pentesting convencional.
Por qué la seguridad de agentes explota justo ahora
Resumen clave: ¿En qué se diferencia un pentest clásico de una auditoría de agentes? En 2026, una auditoría de seguridad agéntica completa se mueve entre 2.000 y 5.000 € según el número de agentes, herramientas y permisos implicados; una campaña de red teaming con PoCs reproducibles, entre 3.000 y 10.000 €; el hardening por horas, entre 50 y 90 €/hora; y los retainers de monitoreo, entre 400 y 1.500 € mensuales. ¿Es legal hacer pruebas de inyección sobre agentes?
Tres fuerzas convergen a la vez y explican por qué esta especialidad pasa de tema de conferencia a línea de presupuesto:
- Los agentes tienen acceso real. La generación actual de agentes hace mucho más que generar texto: controlan navegadores, manejan el correo, ejecutan código, llaman a APIs y operan herramientas de terceros. La guía de computer use como servicio freelance muestra el potencial productivo; el reverso es que cada permiso concedido al agente es un permiso que un atacante puede intentar secuestrar.
- La estandarización llegó. Con MCP para conectar herramientas y protocolos de comunicación entre agentes como A2A, todos los ecosistemas hablan el mismo idioma. Eso acelera la adopción… y también estandariza el trabajo de quien ataca: una técnica de inyección que funciona contra un stack funciona contra muchos.
- El regulador ya está aquí. Desde agosto de 2025 el AI Act obliga a los proveedores de modelos de propósito general, y desde el 2 de agosto de 2026 se aplican de lleno las obligaciones de los sistemas de alto riesgo, incluidos los requisitos de robustez, ciberseguridad y registro. La guía de cumplimiento del AI Act para freelancers tech cubre el marco completo.
El resultado en las organizaciones es una tensión muy visible: el CTO quiere desplegar agentes ya, el CISO no da el visto bueno porque no hay forma de demostrar que el sistema es seguro. Quien sabe construir agentes (la especialidad de desarrollar agentes IA como servicio) y además auditarlos se sitúa exactamente en el punto donde esa tensión se resuelve con dinero.
Los vectores de ataque que tienes que dominar
Una auditoría de agentes se organiza alrededor de familias de ataque bien documentadas ya en el OWASP Top 10 para aplicaciones LLM y sus extensiones para IA agéntica. No necesitas memorizar listas: necesitas entender el patrón de fondo.
Inyección de prompts directa e indirecta
La inyección directa es la forma trivial: alguien convence al agente de que ignore sus instrucciones. La indirecta es la que de verdad quita el sueño: instrucciones ocultas en el contenido que el agente consume, una página web que consulta, un PDF que resume, un correo que clasifica, un ticket de soporte, un comentario en HTML invisible, texto en blanco sobre blanco, descripciones de imágenes. El agente no puede distinguir de forma fiable instrucciones de datos, así que trata ese contenido envenenado como órdenes legítimas. Las demostraciones públicas incluyen agentes que exfiltran datos llamando a URLs controladas por el atacante o ejecutando acciones de borrado tras leer un mensaje manipulado.
No existe hoy una defensa general y completa contra la inyección indirecta; por eso el trabajo profesional consiste en capas: tratar todo contenido externo como no confiable, restringir qué herramientas puede invocar el agente con esos datos, validar los resultados y registrar todo para poder reconstruir cualquier incidente.
Permisos excesivos y abuso de herramientas
El error más común en producción no es un ataque sofisticado, sino un agente al que se le concedió el token de administrador «para que funcionara». OWASP lo llama excesiva agencia: autonomía, permisos o consecuencias desproporcionadas para la tarea. La auditoría revisa el inventario de herramientas, los scopes de cada credencial, qué operaciones son destructivas y qué controles humanos existen antes de un borrado, una transferencia o un envío masivo. La remediación típica, mínimo privilegio, listas blancas de destinos, confirmación humana en acciones irreversibles, límites de frecuencia, es ingeniería, y los clientes pagan por tenerla implementada bien.
Cadena de suministro: tool poisoning y servidores MCP maliciosos
El ecosistema MCP ha hecho trivial conectar herramientas y también ha creado un nuevo vector: servidores MCP maliciosos o renombrados (el rug pull: un servidor legítimo que cambia de manos y actualiza su comportamiento), descripciones de herramientas que esconden instrucciones inyectadas (tool poisoning) y suplantaciones por nombre similar en los registros públicos. Para un equipo que instala servidores comunitarios sin revisión, es equivalente a ejecutar curl | bash de una fuente desconocida. Auditar la cadena de suministro agéntica, versiones fijadas, fuentes verificadas, descripciones revisadas, herramientas proxificadas, es un servicio con demanda inmediata.
Envenenamiento de memoria y fugas de contexto
Los agentes con memoria persistente acumulan información entre sesiones, y esa memoria se puede envenenar: un dato falso plantado hoy condiciona el comportamiento del agente durante semanas. En paralelo, el contexto es la nueva base de datos sensible: capturas con claves de API, correos con datos personales, fragmentos de repositorios privados que acaban en logs, trazas de observabilidad o incluso en el siguiente prompt. En sistemas RAG, documentos plantados en la fuente de recuperación manipulan las respuestas del agente. La revisión de ciclo de vida del contexto (qué entra, dónde vive, quién puede leerlo, cuándo expira) es parte del trabajo.
Qué vende exactamente un freelance de seguridad de agentes
La especialidad se empaqueta en cinco servicios con entregables claros. Los rangos reflejan el mercado español en 2026 para perfiles seniors con portafolio demostrable:
| Servicio | Entregable | Duración | Tarifa orientativa |
|---|---|---|---|
| Auditoría de seguridad agéntica | Inventario de agentes y permisos, modelado de amenazas, informe con hallazgos priorizados y plan de remediación | 1-2 semanas | 2.000-5.000 € |
| Red teaming de agentes | Campaña de inyección directa e indirecta, abuso de herramientas y exfiltración, con PoCs reproducibles | 2-4 semanas | 3.000-10.000 € |
| Hardening e implementación de salvaguardas | Guardrails, sandboxing, confirmación humana, logging forense integrados en el stack del cliente | Proyecto | 50-90 €/hora |
| Revisión previa al despliegue | Checklist de robustez AI Act + GDPR (EIPD/DPIA) para lanzar con evidencias documentadas | 3-5 días | 1.500-4.000 € |
| Monitoreo y respuesta (retainer) | Revisión mensual de incidentes, nuevas herramientas y reglas de guardrails | Continuo | 400-1.500 €/mes |
La lógica comercial importa tanto como la técnica: no vendes miedo, vendes desbloqueo. El comité de seguridad que bloquea el despliegue del agente necesita evidencias para aprobarlo; tu auditoría es el documento que le permite decir sí. Ese encuadre cambia la conversación de «coste de seguridad» a «acelerador de producto», y explica por qué los presupuestos se aprueban con más facilidad que en seguridad tradicional.
El stack: qué herramientas usa un auditor de agentes
La capa técnica de esta especialidad combina herramientas específicas con disciplina de seguridad de software clásica:
- Escáneres de vulnerabilidades LLM: garak (proyecto abierto patrocinado por NVIDIA) y PyRIT (de Microsoft) automatizan baterías de pruebas, inyección, fugas de datos, manipulación de salida, contra el modelo o el agente. promptfoo permite versionar esas campañas como tests repetibles, igual que harías con una suite de integración.
- Salvaguardas y control de entrada/salida: NeMo Guardrails, filtros de LLM intermedios o reglas de salida específicas para bloquear exfiltración (llamadas a dominios no autorizados) y contenido peligroso antes de que llegue a las herramientas.
- Aislamiento: ejecución del agente en contenedores efímeros, filtrado de salida de red (egress allowlist), credenciales por tarea con scopes mínimos y caducidad corta, canary tokens para detectar fugas aunque ocurran.
- Observabilidad forense: trazas completas de cada decisión (LangSmith, Langfuse o equivalente) con retención y tratamiento de datos definidos. Sin traza no hay auditoría posible ni respuesta a incidentes creíble.
- Laboratorio propio: un agente de prueba con 2-3 herramientas MCP reales sobre modelos locales vía Ollama te permite reproducir ataques y validar defensas sin gastar en APIs ni exponer datos.
La metodología pesa más que la herramienta: inventario y permisos, modelado de amenazas por agente, campaña de pruebas, verificación de fugas y un informe que un comité técnico y otro legal puedan leer sin traducción. Ese informe es tu producto; trátalo con el mismo cuidado que el código.
Cuánto se factura frente al pentesting clásico
Comparado con la especialidad más cercana, los números favorecen a quien suma la capa de IA. Un pentester freelance en España factura hoy en la banda de 45-80 €/hora según experiencia y certificaciones; la seguridad de agentes se sitúa entre 55 y 95 €/hora, y los paquetes cerrados de auditoría y red teaming admiten precios superiores porque compiten contra el coste de no desplegar, no contra el coste de otro auditor. La razón es de escasez pura: hay miles de perfiles de ciberseguridad y de desarrollo de IA por separado, y muy pocos que sepan auditar un sistema agéntico de principio a fin. Esa escasez no durará para siempre; la ventana para posicionarse es ahora, mientras el mercado todavía asocia la especialidad a un puñado de nombres.
El argumento de venta que abre puertas: cumplimiento con evidencias
Además del riesgo técnico, los compradores tienen obligaciones concretas. El AI Act exige para sistemas de alto riesgo robustez y ciberseguridad adecuadas, registro de eventos y control humano; el GDPR obliga a una evaluación de impacto cuando los agentes tratan datos personales a escala; y sectores como el financiero añaden sus propios marcos (DORA) y NIS2 para entidades esenciales. Traducido a oferta comercial: tu auditoría produce exactamente la documentación que legal y compliance necesitan archivar. Un entregable, tres audiencias satisfechas, seguridad, producto y legal, y una factura que se justifica sola.
Cómo conseguir los primeros clientes
- Empresas que ya tienen agentes en producción. Son identificables: publican demos, contratan perfiles «agentic» o mencionan LangGraph, CrewAI o MCP en sus ofertas técnicas. Ya tienen el problema; necesitan el diagnóstico.
- Consultoras y agencias de IA. Necesitan la capa de seguridad para cerrar sus propios proyectos y subcontratan con especialistas. Trabajar en blanco para 2-3 consultoras da flujo constante sin coste comercial.
- Software houses con clientes regulados. Venden a banca, seguros o sanidad, y sus clientes empiezan a preguntar por la seguridad de las funciones de IA que les han metido en el producto.
- Contenido técnico propio. Los write-ups de conceptos reproducibles (inyección indirecta contra un agente de prueba tuyo, un rug pull detectado, una cadena de exfiltración bloqueada) son la mejor carta de presentación: demuestran capacidad sin revelar nada confidencial, y alimentan la especialización que sostiene una marca personal técnica creíble.
Plan de 30 días para arrancar desde cero
- Semana 1, fundamentos. Lee el OWASP Top 10 para aplicaciones LLM y el material agéntico asociado. Monta el laboratorio: agente local con dos o tres herramientas MCP reales (buscador, lector de archivos, envío de email en sandbox).
- Semana 2, reproducir ataques. Inyección indirecta mediante contenido oculto en una web que tu agente consulta, envenenamiento de descripción de herramienta, exfiltración por imagen en markdown. Documenta cada PoC con vídeo corto.
- Semana 3, defensas y plantillas. Implementa las capas (egress allowlist, confirmación humana, logging) y redacta tu plantilla de informe con severidades y plan de remediación. Esa plantilla es el esqueleto de tu servicio.
- Semana 4, oferta y salida al mercado. Publica dos write-ups, define tus paquetes con precios, y escribe a 20 empresas con agentes identificables ofreciendo un diagnóstico de 90 minutos de pago. El diagnóstico pequeño es la puerta al proyecto grande.
Preguntas frecuentes
¿Necesito experiencia previa en ciberseguridad para ofrecer este servicio?
Ayuda, pero no es obligatorio para arrancar. El perfil más habitual viene del desarrollo: quien ya construye agentes y domina su stack puede aprender los vectores de ataque, reproducirlos en un laboratorio propio y vender auditorías técnicas con metodología. La base clásica de seguridad (mínimo privilegio, aislamiento, respuesta a incidentes) se adquiere en paralelo, y las certificaciones tradicionales se añaden cuando el volumen de trabajo de red teaming crezca.
¿En qué se diferencia un pentest clásico de una auditoría de agentes?
El pentest ataca una superficie estable: puertos, servicios, aplicaciones web con comportamiento predecible. La auditoría de agentes ataca un sistema no determinista que interpreta lenguaje natural, consume contenido externo no confiable y cambia de comportamiento con cada prompt y cada actualización de modelo. Las técnicas de ataque cambian (inyección de prompts, tool poisoning, envenenamiento de memoria), y las defensas son capas de mitigación más que vulnerabilidades puntuales que se cierran con un parche.
¿Cuánto cobra un freelance por auditar un agente de IA en España?
En 2026, una auditoría de seguridad agéntica completa se mueve entre 2.000 y 5.000 € según el número de agentes, herramientas y permisos implicados; una campaña de red teaming con PoCs reproducibles, entre 3.000 y 10.000 €; el hardening por horas, entre 50 y 90 €/hora; y los retainers de monitoreo, entre 400 y 1.500 € mensuales. Los proyectos de más bolo llegan con clientes regulados que necesitan evidencias formales para desplegar.
¿Es legal hacer pruebas de inyección sobre agentes?
Solo con autorización explícita y por escrito del propietario del sistema, igual que en pentesting. Tus PoCs públicos deben correr siempre contra laboratorio propio o contra programas de recompensas y bug bounties con alcance definido. Atacar sistemas de terceros sin permiso es delito informático con independencia de la técnica usada, y en esta especialidad la línea se cruza igual de rápido que en la seguridad clásica.
¿Las empresas españolas ya contratan seguridad de agentes o es demanda futura?
Ya contratan, aunque el mercado está en fase temprana. Los primeros compradores son banca y seguros, farmacéuticas y consultoras grandes con despliegues agénticos internos, y producto SaaS que incorpora funciones de IA y necesita respuestas para sus clientes empresariales. La demanda crece con la fecha: cada obligación del AI Act que entra en vigor convierte en urgente lo que en 2025 era prudente.
¿Qué certificación conviene para esta especialidad?
No existe todavía una certificación dominante específica de seguridad de IA agéntica, y los compradores valoran más un portafolio de PoCs documentados que un papel. Las certificaciones clásicas (tipo OSCP o CISSP) suman credibilidad para la parte de red teaming, y el conocimiento estructurado de OWASP es hoy la referencia técnica más citada en ofertas. La inversión con mejor retorno inmediato es el laboratorio propio y los write-ups públicos.
Conclusión: la especialidad que falta en el organigrama
La seguridad de agentes de IA reúne las tres condiciones que definen una buena especialidad freelance: demanda con presupuesto, escasez de perfiles y tendencia estructural (no moda) detrás. Las empresas van a seguir desplegando agentes, el ahorro de costes es demasiado grande para frenarlas, y cada despliegue necesita a alguien que responda a la pregunta «¿y esto es seguro?» con evidencias en la mano. Quien llegue ahora, con metodología seria, laboratorio propio y la capacidad de hablar el idioma de producto, seguridad y legal a la vez, se queda con la posición. La ventana está abierta; no lo estará indefinidamente.
¿Te está sirviendo SeniorStack? Añádenos a tus fuentes preferidas en Google y nos verás destacados en tus resultados y respuestas de IA.