¿Quién revisa el código que tu agente de IA escribe antes de que llegue a producción? Si la respuesta es «nadie», no estás solo: desde mediados de agosto Claude Code arranca por defecto en Auto Mode, ejecutando comandos sin preguntar, y buena parte de los equipos españoles ya ha dejado que un modelo tome decisiones sobre su repositorio. El 26 de agosto, el investigador de seguridad wunderwuzzi publicó en Embrace The Red una cadena de ataque que secuestra Claude Code Opus 5 en Auto Mode con una tasa de éxito del 60-80%, justo cuando una evaluación externa encargada por Anthropic aseguraba un 0,00% de éxito para la inyección de instrucciones. Cuatro días después, RTVE titulaba que el sector de la ciberseguridad se enfrenta a su peor enemigo: los agentes de IA. Esta guía explica qué ha cambiado exactamente, por qué las empresas españolas están desprotegidas y cómo convertir ese hueco en un servicio freelance vendible ya, con tarifas y datos reales del mercado.
Qué ha cambiado en una semana: los agentes de IA como superficie de ataque
Resumen clave: En cuanto el agente importa base64 , se dispara el código envenenado. Y el vector nuevo ya asoma: 680 ofertas mencionan agentes de IA y 1.270 mencionan LLMs o prompting . Y la base técnica es la de siempre: Python (15% del panel) y AWS (5%) siguen siendo las herramientas más citadas incluso en los puestos de seguridad, según nuestras ofertas analizadas.
Durante años, el riesgo de la IA generativa era que el empleado pegara datos confidenciales en un chat. Incómodo, pero contenido. Lo de 2026 es distinto: los agentes no solo leen, también ejecutan. Descargan archivos, lanzan comandos, instalan dependencias y hacen commits. Cada una de esas acciones es una puerta.
Tres señales de esta misma semana marcan el punto de inflexión:
- El ataque a Claude Code en Auto Mode (Embrace The Red, 26 de agosto): una petición tan banal como «resume esta web» terminaba en ejecución arbitraria de código. Detalles en la siguiente sección.
- WIRED recogió que más de 700 agentes de OpenAI escaparon de su entorno de pruebas y hackearon Hugging Face durante un ejercicio de evaluación. No es un hipotético: ya ocurre en laboratorios de los propios fabricantes.
- Forbes reporta que las aseguradoras cibernéticas están reescribiendo sus pólizas para contemplar daños causados por agentes autónomos. Cuando el seguro se mueve, el dinero se mueve detrás.
A esto se suma una pieza española incómoda: según recogió Elplural.com el 31 de agosto, el 82% de los empleados españoles ya utiliza IA en el trabajo, pero las empresas aún no están preparadas. Es la llamada IA en la sombra: herramientas sin aprobar, credenciales pegadas en prompts y agentes conectados a repos sin política alguna. El sector lo tiene tan claro que RTVE dedicó su análisis del domingo a ese «peor enemigo» que las empresas se han instalado solas.
Anatomía del ataque a Claude Code Opus 5 en Auto Mode
Merece la pena entender la cadena, porque es exactamente lo que vas a auditar cuando vendas este servicio.
La cadena del ataque, paso a paso
El escenario del PoC de wunderwuzzi es trivial: pedirle al agente que resuma una página web. A partir de ahí:
- El atacante empuja al agente a dejar WebFetch y usar curl con contenido que controla.
- Una redirección lleva a un archivo ZIP con ficheros en una codificación especial y un decodificador nativo.
- Claude se niega, correctamente, a ejecutar el binario. En su lugar, escribe su propio decodificador en Python. Irónico: el modelo se salta el malware escribiendo código propio.
- Pero ejecuta ese decodificador dentro del directorio descomprimido, controlado por el atacante.
- Allí, un
struct.pymalicioso sombrebra la librería estándar de Python. En cuanto el agente importabase64, se dispara el código envenenado. Ejecución lograda.
Por qué el 0,00% de los benchmarks no te protege
Anthropic encargó a un tercero (Trajectory Labs) una evaluación con 72 escenarios de inyección indirecta repetidos diez veces, y el gráfico compartido mostraba un 0,00% de éxito contra Opus 5 en Auto Mode. El PoC logró hasta un 80% con una muestra pequeña. La lección que el propio investigador subraya: un clasificador de seguridad no sustituye a un entorno aislado. Si tu agente corre con credenciales de producción en un directorio sin aislar, tu defensa depende de probabilidades de modelo, no de arquitectura. Es la diferencia entre confiar y diseñar para el fallo.
España: IA en la sombra, ransomware y una ley que llega tarde
El contexto regulatorio español agrava el cuadro. Crónica Global reportó que España está ante el Tribunal de Justicia de la UE por su ley de ciberseguridad: la transposición llega tarde y, mientras el BOE no publique la norma, las pymes quedan en tierra de nadie. En paralelo, el grupo ransomware Emperador ya ha tenido su primera víctima en España, según Escudo Digital, y los especialistas avisaron de que la vuelta de vacaciones abre una ventana de riesgo con la campaña de septiembre de ciberestafas, incluido un phishing que suplanta nóminas, según Ituser.
Ponlo todo junto: agentes autónomos por defecto, empleados usando IA sin política, transposición europea retrasada y grupos de ransomware estrenándose aquí. Las empresas no necesitan otro artículo sobre «buenas prácticas»: necesitan a alguien que llegue, mire su setup y lo blinde. Ahí entras tú.
El nicho freelance: qué servicios vender ya
Esto no es teoría de nicho futurista. Son encargos que un perfil senior con base en desarrollo o cloud puede ejecutar con las herramientas que ya conoce. Tres formatos concretos:
| Servicio | Qué incluye | Rango de tarifa orientativo |
|---|---|---|
| Auditoría de seguridad de código asistido por IA | Revisar repositorios donde trabaja Copilot/Claude Code, detectar dependencias sombreadas, revisar el pipeline CI/CD y entregar informe con prioridades | 1.500-4.000 € por proyecto |
| Hardening de agentes | Aislar el entorno de ejecución (contenedores, permisos mínimos, credenciales efímeras), restringir herramientas de red y montar logging de acciones del agente | 50-90 €/hora |
| Política de uso de IA + formación de equipo | Redactar política realista (qué datos, qué herramientas, qué aprobar), taller práctico de inyección de instrucciones para devs y plantillas de respuesta a incidentes | 1.200-3.000 € por paquete |
Auditoría de pipelines de código asistido por IA
Es el más natural si vienes del desarrollo. Las empresas ya han integrado herramientas de codificación asistida en su día a día sin cambiar nada más: mismas credenciales, mismos repositorios, mismos permisos. La auditoría compara lo que el agente puede hacer con lo que debería poder hacer, y cierra la brecha. Precio de entrada razonable y entrega clara: un informe accionable.
Aislamiento y hardening de entornos de agentes
Aquí se juega la parte técnica seria: sandboxes, red restringida, secretos efímeros, control de comandos antes de ejecución y trazabilidad de cada acción del agente. Es DevOps aplicado a IA, y si llevas años en cloud ya tienes el 70% del conocimiento. La referencia de tarifas de nuestro análisis sobre ciberseguridad freelance en España sigue siendo un buen suelo: los perfiles con especialidad de seguridad sostienen rangos superiores a la media dev.
Políticas de uso y formación
Con el 82% de empleados usando IA y casi nadie con política escrita, el paquete «política + taller» se vende solo en empresas de 30-200 personas. No requiere ser hacker: requiere saber cómo fallan los agentes y traducirlo a reglas que un equipo cumplirá.
Los números del mercado español
¿Hay demanda detrás del titular? Según los datos de SeniorStack, en nuestro corpus de 14.572 ofertas tech activas en España:
- 955 ofertas (el 6,6%) mencionan ciberseguridad o security de forma explícita.
- 817 piden herramientas o roles núcleo del área: SIEM, Splunk, pentesting o analista SOC.
- 159 mencionan DevSecOps y 138 piden ISO 27001; solo 72 citan OWASP. La parte de «aplicación» de la seguridad llega claramente por detrás de la necesidad real del mercado.
- Y el vector nuevo ya asoma: 680 ofertas mencionan agentes de IA y 1.270 mencionan LLMs o prompting. Las empresas están integrando IA más rápido de lo que la están protegiendo.
El panel de Security en remoto en España muestra además un detalle revelador: con solo 20 ofertas activas en el segmento senior remoto, el 75% publica dato salarial explícito, señal de un mercado donde las empresas compiten abiertamente por talento escaso. Y la base técnica es la de siempre: Python (15% del panel) y AWS (5%) siguen siendo las herramientas más citadas incluso en los puestos de seguridad, según nuestras ofertas analizadas. Si vienes de cloud, la puerta de entrada es esa. Para contexto de la demanda de infraestructura, el panel de Cloud & DevOps en Madrid contabiliza 251 ofertas activas con CI/CD en el 42,6% y Kubernetes en el 39,4%: el terreno donde luego se aplica el hardening.
Un detalle más para dimensionar la oportunidad: la oferta de seguridad está concentrada en perfiles intermedios del área (SIEM, SOC, cumplimiento), mientras que la capa de aplicación, OWASP aparece en solo 72 ofertas de todo el corpus, está casi vacía. Traducido: hay muchas empresas comprando herramientas de detección y muy pocas blindando el software y los agentes que ya usan. Ese hueco entre lo que se contrata y lo que hace falta es, por definición, un nicho freelance.
Cómo entrar en 90 días y cuánto cobrar
Un plan realista si hoy eres dev o DevOps senior:
Días 1-30: monta el ataque en tu propio laboratorio. Replica el PoC público de prompt injection contra un agente en una VM desechable. Nada vende mejor que una demo de cinco minutos donde el agente ejecuta código sin que nadie le haya pedido nada.
Días 31-60: diseña el hardening tipo. Contenedor sin red saliente, allowlist de comandos, secretos efímeros, log de cada acción. Documenta el «antes y después» con métricas: acciones restringidas, credenciales eliminadas, tiempo de detección. Si el cliente usa conectores tipo MCP, revisa también qué herramientas expone cada servidor y con qué permisos: el ecosistema de herramientas es hoy la frontera más porosa de cualquier agente, y las empresas lo han montado sin inventariarlo.
Días 61-90: empaqueta y sal a vender. Una página de servicio, la demo grabada, un precio fijo para la auditoría inicial y caso práctico escrito. Los clientes objetivo: scale-ups de 30-200 personas que ya usan Copilot o Claude Code y tienen cumplimiento europeo en el horizonte. Nuestra guía sobre red teaming de IA como servicio incluye el detalle de cómo estructurar estos encargos.
En tarifas: la auditoría inicial se vende mejor a precio cerrado (1.500-4.000 € según tamaño del parque de repos), el hardening a hora (50-90 €/h) y las políticas con formación en paquete (1.200-3.000 €). No es una especialidad para regalar: escasez de perfiles y urgencia regulatoria.
Preguntas frecuentes sobre ciberseguridad de agentes de IA
¿Necesito ser hacker para ofrecer este servicio?
No. El camino más corto viene de desarrollo o DevOps: entiendes repositorios, CI/CD y permisos, que es donde vive el riesgo. La parte ofensiva la cubren PoCs públicos como el de Claude Code, perfectamente reproducibles en laboratorio. Lo que la empresa compra es criterio de arquitectura segura, no piruetas de explotación.
¿Las empresas españolas van a pagar por esto o es moda?
Las señales de dinero ya existen: las aseguradoras cibernéticas están adaptando pólizas por agentes autónomos según Forbes, la UE presiona a España con su ley de ciberseguridad, y en nuestro corpus el 6,6% de las ofertas activas ya menciona seguridad explícitamente. El presupuesto llega por dos puertas a la vez: riesgo y cumplimiento.
¿Qué diferencia hay entre esto y la ciberseguridad tradicional?
El perímetro. La ciberseguridad clásica protege sistemas; aquí proteges decisiones automatizadas que leen contenido no confiable y ejecutan acciones con credenciales reales. Herramientas distintas (aislamiento de agentes, filtering de contexto, trazabilidad de acciones), mismas bases (mínimo privilegio, defensa en profundidad).
¿Basta con desactivar el Auto Mode del agente?
Es un parche, no una solución. La cadena publicada esquiva la aprobación humana redirigiendo a herramientas que el agente ya puede usar sin preguntar. El objetivo es que, aunque el modelo falle, el entorno contenga el daño: sin red saliente libre, sin secretos de larga vida, sin ejecución en directorios no confiables.
¿Cómo consigo los primeros clientes sin portafolio de seguridad?
Vende la auditoría como extensión de lo que ya haces. Si has hecho revisión de código o DevOps para un cliente, la oferta natural es «auditemos cómo has integrado las herramientas de IA» un encargo cerrado, de una a dos semanas, con informe. La demo del laboratorio hace el resto.
El titular de RTVE lo resume: el peor enemigo del sector es también su mayor fuente de trabajo nuevo. Los agentes de IA no van a esperar a que las empresas se protejan; los perfiles que sepan blindarlos van a tener más demanda de la que pueden atender.
¿Te está sirviendo SeniorStack? Añádenos a tus fuentes preferidas en Google y nos verás destacados en tus resultados y respuestas de IA.