El 70% de las organizaciones ya manejan más identidades máquina que de personas y casi la mitad de ellas gestionan diez veces más identidades máquina que de usuarios humanos debido, en gran parte, a la IA de Agentes. Este desequilibrio sigue aumentando y se espera que las identidades máquina crezcan un 30% en los próximos 3-5 años, superando con creces el crecimiento de las identidades humanas.[1]
En el panorama digital actual, estamos experimentando una transformación sin precedentes: por cada identidad humana en los sistemas digitales, existen entre 45 y 92 identidades no humanas.[2] Esta proliferación masiva de identidades digitales pertenecientes a máquinas, servicios, aplicaciones y dispositivos conectados está redefiniendo el ecosistema de ciberseguridad global. Los últimos informes de 2025 revelan que esta desproporción no solo continúa creciendo, sino que además está generando vulnerabilidades críticas en organizaciones de todos los tamaños, con el 46% de las empresas ya habiendo sufrido violaciones relacionadas con estas identidades no humanas. Este fenómeno representa uno de los mayores desafíos de seguridad actuales, amplificando exponencialmente la superficie de ataque disponible para los ciberdelincuentes.
Los agentes de IA son la implementación práctica de los principios de la IA agente. Estas entidades de software pueden funcionar en nombre de usuarios humanos u operar como actores no humanos independientes dentro de los sistemas organizacionales. Van desde herramientas de automatización específicas de tareas simples hasta sistemas autónomos sofisticados capaces de tomar decisiones complejas en múltiples dominios.
Este panorama se agrava debido a que muchas empresas y organizaciones no son conscientes del número real de identidades no humanas que gestionan. Los agentes de IA específicamente presentan riesgos debido a sus capacidades autónomas. Su capacidad para tomar decisiones independientes y acceder a múltiples sistemas con niveles de permiso variables crea potencial para consecuencias no deseadas.
Este escenario, lejos de ser una proyección futurista, ya es parte del día a día de las organizaciones. La magnitud del reto obliga a ampliar la conversación: no se trata únicamente de reconocer el crecimiento exponencial de las identidades máquina y de los agentes de IA, sino de reflexionar sobre las implicaciones estratégicas que esto conlleva y, sobre todo, de trazar un camino de acción concreto que permita recuperar el control antes de que la complejidad nos sobrepase.
La proliferación de identidades máquina no solo es un fenómeno estadístico; es una realidad que redefine las bases de la seguridad digital. La cifra de entre 45 y 92 identidades no humanas por cada identidad humana no es únicamente alarmante: es una llamada a la acción. Cada una de esas credenciales —cuentas de servicio, bots, RPA, workloads, APIs y ahora agentes de IA— se convierte en una puerta potencial hacia los activos más críticos de la organización.
Los riesgos se multiplican porque estas identidades suelen ser invisibles para los equipos de seguridad. A diferencia de un colaborador humano, una identidad máquina nunca toma vacaciones ni cambia de puesto: permanece activa de manera indefinida, con permisos que rara vez se ajustan o se revocan. Esto explica que el 97% tenga privilegios excesivos, que más del 70% de los vaults estén mal configurados y que la exposición a terceros comprometa directamente la confianza digital de las organizaciones. En la práctica, una sola identidad máquina comprometida puede abrir el camino a un ataque masivo con consecuencias operativas, regulatorias y reputacionales.
Frente a este panorama, las soluciones no pueden limitarse a controles aislados. Lo que se requiere es una estrategia integral de Seguridad de la Identidad, evolución natural de lo que conocimos como Gobierno de Identidades (IGA). Una disciplina que ya no se enfoca solo en “quién accede a qué”, sino en gobernar y proteger todas las identidades, humanas y no humanas, bajo principios de mínimo privilegio, monitoreo continuo y automatización inteligente.
La buena noticia es que, al mismo tiempo que representan un riesgo, las identidades máquina también son una oportunidad. Su correcta gestión permite habilitar la innovación, acelerar procesos y potenciar a los propios agentes de IA como aliados confiables. La clave está en reconocerlas, gobernarlas y protegerlas. Ignorarlas no es una opción.
La reflexión final es clara: la seguridad de identidades ya no es un aspecto técnico, es un imperativo estratégico. En la medida en que las organizaciones comprendan y actúen frente a este desafío, estarán no solo defendiendo su futuro digital, sino también construyendo la base de su resiliencia y competitividad.
[1] SailPoint’s fast-growing Machine Identity Security is changing how businesses manage and secure machine identities
[2] 2025 State of Non-Human Identities and Secrets in Cybersecurity
[3] 2025 State of Non-Human Identities and Secrets in Cybersecurity
Autores del artículo:
Sara Lasso
Security Sales Specialist en BT Group
Eduardo Zamora
VP Sales LATAM en SailPoint
Podcast de Cyberlideria MGZN.
Todos los jueves, a partir de las 22:00, estará disponible en CyberLideria MGZN una nueva entrevista, donde un prestigioso CISO colaborador charlará con una personalidad inspiradora, importante, y líder empresarial, tanto del ámbito privado como público.
Manténgase informado sobre la ciberseguridad, tecnología, las tendencias y las noticias que afectan a los líderes de TI.
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
