.jpg)
En el vertiginoso ecosistema de la inteligencia artificial, un nuevo concepto ha pasado de ser una rareza teórica a convertirse en el centro de una feroz carrera tecnológica: la identidad de los agentes de IA. Hace apenas doce meses, casi nadie hablaba de este asunto. Hoy, sin embargo, es uno de los sectores más densamente poblados de toda la pila de IA, con decenas de actores compitiendo por resolver una misma pregunta fundamental: quién es ese agente y qué se le permite hacer. Este fenómeno no es casual; responde a una necesidad operativa real que las identidades tradicionales, diseñadas para humanos, no pueden cubrir. Cuando un agente autónomo ejecuta una llamada a una API, se comunica con otro agente o accede a un recurso en la nube, el sistema necesita verificar su identidad de forma dinámica, sin intervención manual. Los protocolos emergentes como MCP o A2A han destapado esta carencia, obligando a gigantes como Microsoft, AWS, Google, Salesforce, Okta, IBM, CyberArk o Palo Alto a posicionarse con soluciones propias. El resultado es un mapa complejo con al menos siete carriles bien diferenciados y más de 38 actores contabilizados, una cifra que sigue creciendo mes a mes.
El primer carril lo ocupan los proveedores tradicionales de gestión de identidades empresariales (IAM/IGA), que extienden sus plataformas para gobernar agentes al mismo nivel que a los empleados. Microsoft Entra, Okta, SailPoint, Saviynt, Ping, CyberArk o IBM ofrecen desde identidades nativas en sus directorios hasta capacidades de delegación controlada y auditoría. Un segundo carril lo dominan los hiperescalares y especialistas en identidad de cargas de trabajo, como AWS Bedrock, Salesforce Agentforce, Cloudflare, SPIFFE/SPIRE, Aembit o HashiCorp Vault, que tratan a los agentes como procesos software que necesitan credenciales efímeras y acceso justo a tiempo. El tercer carril es el de las plataformas de autenticación para desarrolladores y CIAM: Descope, Stytch, Ory y WorkOS emiten tokens OAuth 2.1 y credenciales para agentes y servidores MCP. En el cuarto carril se sitúan los especialistas en seguridad de identidades no humanas, como Astrix, Token Security y Oasis, que descubren agentes no autorizados y gestionan su ciclo de vida. El quinto carril apuesta por identidades descentralizadas y autosoberanas (DID y credenciales verificables), con proyectos como Indicio ProvenAI, ArcBlock, Agent 402 o agent-did. El sexto carril es el de los protocolos y estándares de comunicación: el Model Context Protocol (MCP) de Anthropic, el Agent2Agent (A2A) de Google, el Agent Transfer Protocol (AGTP), Agent Auth (AAuth), el estándar W3C DID+VC, el Open Agent Auth de Alibaba, o el framework AGNTCY de Cisco. El séptimo carril lo forman los organismos de gobernanza como NIST, CoSAI u OWASP, que elaboran principios, normas y listas de riesgos que todos los demás implementarán.
Este mapa revela dos fuerzas contrapuestas. Por un lado, existe una convergencia notable: toda la industria acepta ya que los agentes necesitan una identidad propia, separada de la del usuario o de la aplicación anfitriona. Hace un año era solo una tesis; hoy hay decenas de soluciones compitiendo por ser el estándar. Pero, por otro lado, la fragmentación es igualmente profunda. Siete carriles llevan el mismo titular —'identidad de primera clase para cada agente'— pero resuelven problemas distintos: gobernar el ciclo de vida, autenticar la ejecución, emitir tokens, descubrir identidades ocultas, hacer portátil el identificador entre organizaciones, definir cómo viaja la identidad en el cable, o redactar las reglas que todos deben seguir. Un comprador que elija un 'líder de mercado' sin identificar primero su carril concreto corre el riesgo de adquirir una solución inadecuada. La diferenciación real no está en el eslogan de la página de inicio, sino en la capa y el tipo de problema que se aborda. Por eso, antes de invertir, conviene decidir si el verdadero desafío es el descubrimiento, la emisión de credenciales, la interoperabilidad o la gobernanza, y solo entonces explorar el carril que lo domina.
Sin embargo, hay una capa que el mapa no muestra, y quizá sea la más crítica. En todos los carriles, lo que se verifica es el identificador: una clave, un token, una tarjeta firmada, una credencial descubierta. Y eso se está convirtiendo rápidamente en un requisito básico. Las preguntas difíciles están un nivel por encima: ¿qué autoridad real tiene ese agente? ¿Quién delegó esa autoridad y hasta dónde alcanza? ¿Qué restricciones operan sobre el agente una vez que empieza a actuar? Un identificador confiere un nombre, pero no dice nada sobre la conducta. Un agente verificado con un token válido puede ejecutar una acción no deseada, y su 'carnet' pasará todos los controles. La industria ha construido una maquinaria impresionante para nombrar agentes, pero muy poca para gobernarlos de verdad. El terreno abierto es la capa comportamental: una identidad que se describa a sí misma, acompañada de un mecanismo de descubrimiento honesto, y una conciencia en tiempo de ejecución que juzgue las acciones, no solo las credenciales. Ahí es donde competirán las próximas decenas de compañías.
Para las empresas que están afrontando este desafío, la clave está en contar con un socio tecnológico que entienda tanto la infraestructura como la estrategia de negocio. En Q2BSTUDIO, como empresa de desarrollo de software y tecnología, ofrecemos capacidades que abarcan desde la creación de aplicaciones a medida y software a medida hasta la integración de inteligencia artificial y ia para empresas en entornos productivos. Nuestra experiencia abarca servicios cloud aws y azure, lo que permite desplegar agentes IA con la identidad y el control de acceso adecuados. Además, incorporamos ciberseguridad como un pilar transversal en todos los proyectos, y ayudamos a las organizaciones a extraer valor de sus datos mediante servicios inteligencia de negocio y power bi. La gobernanza de agentes IA no es solo un problema técnico; es una cuestión de diseño, estrategia y cumplimiento que abordamos de manera integral.
Al final, la pregunta que todo el mapa de la identidad de agentes esquiva es precisamente la que define el verdadero valor de la inversión: una vez que el sistema ha nombrado al agente, ¿qué gobierna lo que ese agente puede hacer? La respuesta no está solo en los tokens, las tarjetas firmadas o los directorios, sino en una capa de autorización contextual que combine atributos de identidad con políticas de negocio, monitorización continua y capacidades de revocación instantánea. Las empresas que resuelvan primero esta capa comportamental no solo evitarán incidentes de seguridad, sino que desbloquearán todo el potencial de la automatización inteligente. Y para recorrer ese camino con garantías, contar con un equipo multidisciplinar que domine tanto el desarrollo de aplicaciones a medida como la orquestación en la nube, la analítica de datos y la ciberseguridad, se convierte en una ventaja competitiva decisiva. El futuro de los agentes IA no se trata solo de darles un nombre, sino de enseñarles a comportarse dentro de los límites que nosotros, como organizaciones, definamos.
