# El noventa y nueve por ciento de los tokens de acceso al repositorio de códigos nunca caducan según Autonomous AI Agents Source: TechNewsList (https://technewslist.com) Canonical URL: https://technewslist.com/es/article/blueflag-security-reveals-99-percent-ai-agent-tokens-never-e-2026-11-07-night-es Section: AI (https://technewslist.com/es/ai) Author: TechNewsList Language: es Published: 2026-11-07T18:12:16.747+00:00 Updated: 2026-11-07T18:12:16.749858+00:00 > Una investigación empírica realizada por Blueflag Security revela que el noventa y nueve por ciento de los tokens de acceso personal proporcionados para agentes de codificación de IA autónomos carecen de fechas de vencimiento, lo que expone los repositorios de software corpor... ## TL;DR - La empresa de seguridad Blueflag analizó miles de repositorios corporativos y descubrió que el 99% de los tokens de agentes de codificación de IA carecen de límites de caducidad. - Los agentes de desarrollo autónomos requieren amplios permisos de lectura, escritura y confirmación del repositorio que persisten indefinidamente sin rotación automatizada. - Las identidades no humanas ahora superan en número a los desarrolladores de software humanos en entornos de control de fuentes y de nube empresarial en más de diez a uno. - Los investigadores de seguridad advierten que los tokens de las máquinas de los desarrolladores comprometidos proporcionan a los adversarios puntos de entrada persistentes y encubiertos a los canales de producción. ## Key points - Los desarrolladores empresariales generan periódicamente tokens de acceso personal permanentes para otorgar a los agentes de codificación autónomos acceso continuo a los árboles de origen. - Las credenciales de máquinas no humanas con privilegios excesivos representan el vector de ataque de más rápido crecimiento dirigido a los sistemas de implementación continua de software empresarial. - Los equipos de operaciones de seguridad con frecuencia carecen de visibilidad centralizada sobre qué agentes automatizados tienen privilegios administrativos activos del repositorio. - Los estándares de cumplimiento de la industria exigen cada vez más credenciales efímeras de corta duración y revocación automática de tokens para todos los canales automatizados. - Blueflag recomienda hacer cumplir la certificación de identidad criptográfica y la vida útil de los tokens de veinticuatro horas para todos los agentes desarrolladores autónomos. ## Qué pasó La organización de investigación en ciberseguridad Blueflag Security ha publicado un estudio empírico exhaustivo que expone una vulnerabilidad de seguridad generalizada en todo el ecosistema moderno de ingeniería de software: el noventa y nueve por ciento de los tokens de acceso personal proporcionados para agentes codificadores de inteligencia artificial autónomos no tienen fecha de caducidad. La investigación auditó decenas de miles de repositorios de código fuente corporativo en las principales plataformas de control de versiones, incluidas GitHub y GitLab, mapeando las credenciales de autenticación utilizadas por herramientas de codificación automatizadas, revisores de solicitudes de extracción y agentes de entrega continua. Los hallazgos ilustran cómo la adopción explosiva de herramientas autónomas de desarrollo de IA ha superado con creces la gobernanza de credenciales corporativas. Los ingenieros de software que buscan optimizar los flujos de trabajo de codificación automatizados generan rutinariamente tokens de máquina con amplios permisos de lectura, escritura y administración de sucursales, seleccionando opciones que no caducan para evitar que las tareas automatizadas en segundo plano se interrumpan cuando las credenciales caducan. En consecuencia, millones de claves de autenticación persistentes y con altos privilegios permanecen activas en entornos de producción sin revisiones de acceso continuas ni políticas de revocación. ![Infografía técnica que describe las distribuciones de riesgos de seguridad y la vida útil de los tokens de acceso para agentes autónomos de IA.](https://img2.helpnetsecurity.com/posts2026/BlueFlag-AI-agents-access-risks.webp) *Matriz de riesgo técnico y gráfico de referencia que detalla la prevalencia de credenciales que no caducan en las bases de códigos empresariales encuestadas.* La investigación destaca que las identidades no humanas (incluidas cuentas de servicio, tokens API, secretos de webhooks y credenciales de agentes autónomos) ahora superan en número a los desarrolladores de software humanos en entornos típicos de ingeniería empresarial en una proporción estimada de doce a uno. A diferencia de los empleados humanos cuyo acceso está limitado por marcos de inicio de sesión único y puntos de control de autenticación de múltiples factores, los agentes de codificación autónomos operan a través de tokens portadores programáticos estáticos que brindan un recorrido ininterrumpido y no monitoreado por el repositorio. ## Por qué importa La proliferación de tokens de acceso personal inmortales crea un riesgo sistémico catastrófico para las cadenas de suministro de software globales. Si la estación de trabajo de un desarrollador se ve comprometida a través de malware, o si una variable de entorno se filtra a través de un canal de registro de integración continua inseguro, un atacante que obtiene un token de agente que no vence obtiene acceso permanente y autenticado al código fuente propietario, documentación de arquitectura interna y scripts de implementación de producción. Además, los agentes de codificación autónomos suelen tener permisos que exceden con creces sus requisitos operativos. Para evaluar las solicitudes de extracción y probar correcciones de errores, a los agentes a menudo se les otorgan amplios derechos de administración del repositorio, lo que les permite fusionar solicitudes de extracción, eludir las reglas de protección de sucursales y aprobar versiones de software. Un actor malicioso que posea estas credenciales podría inyectar silenciosamente puertas traseras en bases de código de producción sin activar las alarmas de autenticación multifactor convencional. El informe de Blueflag demuestra que los marcos tradicionales de gestión de identidades y accesos (IAM) están fundamentalmente mal equipados para gobernar los flujos de trabajo agentes. Los equipos de seguridad empresarial han pasado décadas perfeccionando la gestión del ciclo de vida de la identidad para los empleados humanos, automatizando el aprovisionamiento durante la incorporación y la interrupción inmediata del acceso tras la salida. Sin embargo, cuando se implementa un agente de software autónomo, rara vez existe un protocolo establecido que rija el ciclo de vida de sus credenciales, lo que deja activos indefinidamente tokens de máquinas huérfanas en todos los inquilinos de la nube corporativa. ## Detalles técnicos A nivel técnico, los tokens de acceso personal (PAT) funcionan como secretos de portador que autentican las interacciones programáticas con las interfaces de programación de aplicaciones de control de versiones. Cuando un agente de codificación autónomo realiza operaciones de búsqueda, confirmación o inserción de git, transmite el token de portador dentro del encabezado de autorización HTTP. Debido a que los sistemas de control de versiones autentican el token en sí en lugar del entorno de ejecución subyacente, cualquier entidad que posea la cadena criptográfica puede ejecutar acciones autorizadas en nombre de la identidad proporcionada. La telemetría de Blueflag reveló que el ochenta y cuatro por ciento de los tokens de agentes de IA analizados tenían privilegios completos de escritura administrativa del repositorio, incluida la autoridad para eludir las reglas obligatorias de protección de sucursales y aprobar revisiones de código. Solo el tres por ciento de las organizaciones empresariales monitoreadas aplicaron políticas obligatorias de caducidad de tokens o utilizaron tokens de identidad OpenID Connect (OIDC) efímeros y de corta duración para interacciones de máquinas autónomas. ![Gráfico de evaluación comparativa que muestra la precisión de la resolución de problemas del agente de ingeniería de software y los seguimientos de ejecución.](https://storage.googleapis.com/gweb-uniblog-publish-prod/images/gemini-3-8-flash__evals__deepswe.width-1200.format-webp.webp) *Telemetría de evaluación de ingeniería de software que demuestra la ejecución de codificación autónoma de múltiples turnos dentro de contenedores de repositorio.* En el sesenta y uno por ciento de los repositorios encuestados, los tokens de acceso de agentes estáticos estaban codificados en archivos de configuración dot-env del desarrollador, almacenados en registros de historial de bash locales no cifrados o integrados en cachés de memoria del ejecutor de canalizaciones. Cuando los agentes automatizados clonan dependencias externas de terceros, estos secretos no protegidos se vuelven vulnerables a ataques indirectos de inyección rápida, donde un código externo malicioso engaña al agente local para que transmita sus variables de entorno a nodos de escucha externos. ## Impacto en el mercado / la industria La revelación de vulnerabilidades generalizadas de credenciales no humanas está generando un rápido interés comercial en las plataformas de seguridad de identidades no humanas (NHI) y de gobernanza de credenciales de máquinas. Los principales proveedores de ciberseguridad están adquiriendo agresivamente nuevas empresas que se especializan en detección de secretos, descubrimiento de cuentas de servicio y ajuste automatizado de privilegios para proteger los entornos de desarrollo nativos de la nube. Los comités de adquisición de software empresarial están revisando los criterios de evaluación de proveedores, exigiendo que los proveedores de herramientas para desarrolladores de IA admitan tokens OAuth de corta duración, permisos de repositorio detallados y protocolos automatizados de rotación de claves. Las organizaciones que no implementan controles estrictos de credenciales de máquinas enfrentan una creciente resistencia por parte de los suscriptores de seguros cibernéticos, quienes están identificando tokens de software no administrados como catalizadores principales de violaciones catastróficas de datos empresariales. Los hiperescaladores de la nube y los hosts de repositorios de código fuente están respondiendo introduciendo posturas de seguridad predeterminadas más estrictas. Los operadores de plataformas están preparando flujos de trabajo automatizados que marcan, protegen o revocan automáticamente tokens de acceso personal que exhiben patrones de uso geográfico anómalos o superan los noventa días de validez continua sin reautenticación programática. ## Qué observar ahora En los próximos trimestres, se espera que los organismos reguladores, incluidos CISA y ENISA, incorporen la gobernanza de identidades no humanas en los estándares federales de seguridad de la cadena de suministro de software. Los directores de seguridad de la información acelerarán el despliegue de bóvedas automatizadas de gestión de secretos que generan tokens criptográficos de un solo uso y de corta duración para agentes autónomos. Los proveedores de herramientas de desarrollo enfrentarán una creciente presión de los clientes para desaprobar los tokens portadores estáticos en favor de la certificación de identidad de máquina verificable criptográficamente. A medida que los agentes autónomos de inteligencia artificial asuman un papel indispensable en la ingeniería de software diaria, proteger las identidades no humanas que impulsan estos sistemas se convertirá en la frontera central de la ciberdefensa empresarial moderna. ## Fuentes - [Ayuda a Net Security](https://www.helpnetsecurity.com/2026/11/06/blueflag-ai-agents-access-risks-report/) - [Ciberseguridad de la cadena de suministro](https://en.wikipedia.org/wiki/Supply_chain_attack) - [Seguridad del repositorio de software] (https://en.wikipedia.org/wiki/Software_repository) * Supply Chain Security * Autonomous AI Agents * Non-Human Identity Mentions: Blueflag Security, Autonomous AI Agents, GitHub, Non-Human Identity, Supply Chain Security ## Sources - [Help Net Security](https://www.helpnetsecurity.com/2026/11/06/blueflag-ai-agents-access-risks-report/) - [Supply Chain Cybersecurity](https://en.wikipedia.org/wiki/Supply_chain_attack) - [Software Repository Security](https://en.wikipedia.org/wiki/Software_repository)