--- title: "Pistas de auditoría para agentes de IA: registro completo y a prueba de manipulaciones" description: "Una pista de auditoría para agentes de IA es el registro completo y a prueba de manipulaciones de todas las decisiones, llamadas a herramientas, accesos a datos, operaciones de almacenamiento y apr…" locale: "es" canonical: "https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/pistas-de-auditoria-para-agentes-de-ia-registro-completo-y-a-prueba-de-manipulac" category: "Agentes de IA" topic: "Seguridad de agentes de IA & OWASP" updated: "2026-10-28T13:11:17.561Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Pistas de auditoría para agentes de IA: registro completo y a prueba de manipulaciones Una pista de auditoría para agentes de IA es el registro completo y a prueba de manipulaciones de todas las decisiones, llamadas a herramientas, accesos a datos, operaciones de almacenamiento y aprobaciones humanas de un agente. Hace que el comportamiento autónomo del agente sea trazable a nivel forense, cumple las obligaciones regulatorias de registro y, si se produce un daño, aporta pruebas de quién o qué desencadenó cada acción. ## De un vistazo - Una pista de auditoría debe registrar, por cada acción del agente, al menos ocho datos: el prompt completo, la versión del modelo y el hash de configuración, la secuencia de llamadas a herramientas con sus argumentos, las consultas de recuperación y los ID de documento, el output junto con la justificación de la decisión, los eventos de intervención humana (human override), las lecturas y escrituras en memoria, y el coste y la latencia. - Los logs deben ser a prueba de manipulaciones: el almacenamiento WORM (Write-Once-Read-Many) y la firma criptográfica para detectar manipulaciones son los patrones estándar de la investigación de OWASP. - Responde a las obligaciones de registro del Reglamento de IA de la UE, a la responsabilidad proactiva del RGPD (art. 5, apartado 2, art. 24 y art. 32) y al análisis forense tras incidentes de seguridad, por ejemplo cuando, según una investigación de Galileo, un agente comprometido envenena en cuatro horas el 87 % de las decisiones posteriores en la cadena. - El Reglamento de IA de la UE exige conservar durante al menos seis meses los logs generados automáticamente por sistemas de IA de alto riesgo (art. 19 y art. 26), según el anexo, a partir del 2 de diciembre de 2027 o del 2 de agosto de 2028. A ello se suman los plazos sectoriales: bancos y aseguradoras, normalmente 10 años; sanidad, según la normativa nacional de documentación clínica (AT: § 51 ÄrzteG; DE: § 630f BGB); sector público, según la ley de archivos. - En el modelo agéntico de OWASP, la pista de auditoría aborda sobre todo ASI03 (Identity & Privilege Abuse, incluido Repudiation/Untraceability) y es requisito previo para esclarecer ASI06, ASI08 y ASI10. - Sin logs basados en la procedencia, el envenenamiento de memoria no se puede demostrar: si un agente recuerda instrucciones para las que no existe ningún registro de procedencia, esa es precisamente la señal de detección central. Una pista de auditoría para agentes de [IA](https://blckalpaca.at/es/glosario/ia) es el [registro completo y a prueba de manipulaciones](https://blckalpaca.at/es/servicios/agentes-ia-empresas) de todas las decisiones, llamadas a herramientas, accesos a datos, operaciones de almacenamiento y aprobaciones humanas de un [agente](https://blckalpaca.at/es/glosario/agente). Hace que el comportamiento autónomo sea trazable a nivel forense, cumple las obligaciones regulatorias de registro y, si se produce un daño, aporta pruebas de quién o qué desencadenó una acción. A diferencia del logging clásico de aplicaciones, debe permitir reconstruir la ruta de decisión propia del agente. - **Qué se registra:** [prompt](https://blckalpaca.at/es/glosario/prompt), versión del modelo/hash de configuración, secuencia de llamadas a herramientas con argumentos, consultas de recuperación e ID de documento, output con justificación, intervenciones humanas, eventos de memoria, coste y latencia. - **Cómo se protege:** almacenamiento WORM (Write-Once-Read-Many) y firma criptográfica para detectar manipulaciones; externalización al SIEM, fuera del alcance del agente. - **Por qué es necesaria:** obligaciones de registro del Reglamento de IA de la UE, responsabilidad proactiva del [RGPD](https://blckalpaca.at/es/glosario/rgpd) y análisis forense tras incidentes que escalan más rápido de lo que la respuesta a incidentes clásica puede contenerlos. ## Por qué los agentes necesitan su propia pista de auditoría Las aplicaciones [LLM](https://blckalpaca.at/es/glosario/llm) clásicas solo *responden*: entra un prompt, sale una completion. Los sistemas agénticos, en cambio, *planifican, razonan, eligen herramientas, escriben en la memoria y actúan* con una aprobación humana mínima paso a paso. Precisamente estas características (autonomía, uso de herramientas y estado persistente) generan una [ruta de decisión](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/como-disenar-bien-el-human-in-the-loop-hitl-patrones-de-aprobacion-para-agentes) que los logs convencionales de petición y respuesta no reflejan. En el modelo de OWASP para aplicaciones agénticas (ASI01–ASI10, publicado el 9 de diciembre de 2025), la trazabilidad ya no es un riesgo propio del Top 10, sino que está integrada en el conjunto: el antiguo tema del borrador «Repudiation & Untraceability» se encuentra hoy dentro de [**ASI03 (Identity & Privilege Abuse)**](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/tool-misuse-y-excessive-agency-cuando-los-agentes-de-ia-tienen-demasiados-permis), más requisitos transversales de logging. La pista de auditoría es, por tanto, un control transversal que hace posible esclarecer varias clases de riesgo. Tres ejemplos de la investigación de OWASP muestran la necesidad: - **ASI06: Memory & Context Poisoning:** un solo ataque de inyección con éxito puede envenenar de forma duradera la memoria persistente; una señal de detección central es que el agente «recuerde» instrucciones para las que *no existe ningún registro de procedencia*. Sin logs basados en el origen, esta prueba es imposible. - **ASI08: Cascading Failures:** según la investigación de Galileo AI (diciembre de 2025), en simulaciones un solo agente comprometido envenenó **el 87 % de las decisiones posteriores en 4 horas**, es decir, más rápido de lo que la respuesta a incidentes clásica puede contenerlo. Solo un log completo de la comunicación entre agentes permite reconstruir la propagación. - **ASI10: Rogue Agents:** en el resumen threat-to-control, «Audit» es, junto con las líneas base de comportamiento continuas y el kill switch, uno de los controles clave para detectar un desalineamiento persistente a lo largo del tiempo. ## Qué hay que registrar La investigación de OWASP (sección 7.6, Audit logging) define el **alcance forense mínimo por acción del agente**, es decir, para cada acción individual y no por sesión: | Campo de log | Contenido | Riesgo abordado | | --- | --- | --- | | Prompt completo | Contexto de usuario, de sistema e inyectado | ASI01 Goal Hijack, ASI06 | | Versión del modelo + hash de configuración | Qué modelo, qué parámetros | ASI10 prueba de deriva | | Secuencia de llamadas a herramientas con argumentos | Qué herramienta, qué parámetros, en qué orden | ASI02 Tool Misuse | | Consultas de recuperación + ID de documento | Qué fuentes se han consultado | ASI06 Memory/[RAG](https://blckalpaca.at/es/glosario/rag) | | Output + justificación de la decisión | Resultado, chain-of-thought si está disponible | ASI09 Human Trust | | Eventos de intervención humana | Quién aprobó/rechazó y cuándo | ASI09, supervisión según el Reglamento de IA (art. 14) | | Lecturas/escrituras en memoria | Qué se ha guardado/recuperado | ASI06 | | Coste y latencia | Presupuesto de tokens/USD, tiempo de respuesta | ASI02, Denial-of-Wallet | Lo decisivo son los **metadatos de procedencia**: cada entrada de memoria debería registrar fuente, marca de tiempo, ruta de ingesta y nivel de confianza. Las [escrituras en memoria](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/construir-la-infraestructura-de-agentes-de-ia/observabilidad-de-agentes-de-ia-tracing-metricas-logs-y-evals) son, en la lógica de OWASP, eventos relevantes para la seguridad. Una entrada solo llega a la memoria persistente mediante una operación de escritura explícita y auditada, nunca de forma implícita. ## Protección contra manipulaciones: WORM y firma criptográfica Una pista de auditoría solo es tan creíble como inalterable sea. Si un agente comprometido, o un atacante con sus permisos (ASI03: «el atacante hereda los permisos del agente»), puede modificar los logs a posteriori, se pierde su valor probatorio forense. Los patrones que cita la investigación: - **Almacenamiento WORM (Write-Once-Read-Many):** logs inalterables que, una vez escritos, ya no se pueden modificar. - **Firma criptográfica:** cada entrada de log se firma, de modo que cualquier manipulación resulta detectable (tamper detection). - **Integración con SIEM:** los logs se envían a un sistema central y quedan fuera del alcance del agente y de sus permisos sobre herramientas. En la lógica clásica de amenazas STRIDE, esto aborda la categoría *Repudiation* (repudio), que se mantiene en la adaptación STRIDE for AI de Microsoft. Además, si se registran ejecuciones de código, también deben formar parte de la pista las escrituras en archivos de configuración fuera de la gestión de cambios habitual y la creación de subprocesos (señales de detección de ASI05). ## Por qué es necesaria: obligación de registro, rendición de cuentas, análisis forense El impulso regulatorio llega por tres vías. **En primer lugar**, el [Reglamento de IA de la UE](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689) exige para los [sistemas de IA de alto riesgo](https://blckalpaca.at/es/glosario/sistemas-de-ia-de-alto-riesgo) el registro automático de eventos durante todo su ciclo de vida (conservación de registros, art. 12), complementado por el art. 14 (supervisión humana) y la obligación de vigilancia poscomercialización del art. 72. Según el [Ómnibus Digital (Reglamento (UE) 2026/1744)](https://www.hunton.com/privacy-and-cybersecurity-law-blog/eu-digital-omnibus-on-ai-enters-into-force), los artículos 12 y 14 solo se aplican a partir del 2 de diciembre de 2027 para los sistemas del anexo III y a partir del 2 de agosto de 2028 para los del anexo I. La investigación de OWASP asigna además los riesgos agénticos al art. 15 (solidez, ciberseguridad) y señala que los responsables del despliegue deben leer catálogos de amenazas del tipo OWASP *además* del art. 15, porque, a mayo de 2026, las normas armonizadas todavía no cubren muchas lagunas. **En segundo lugar**, el principio de responsabilidad proactiva del RGPD ([art. 5, apartado 2](https://dsgvo-gesetz.de/art-5-dsgvo/), [art. 24](https://dsgvo-gesetz.de/art-24-dsgvo/)) exige demostrar medidas técnicas y organizativas apropiadas, entre ellas la seguridad del tratamiento conforme al [art. 32](https://dsgvo-gesetz.de/art-32-dsgvo/). La investigación vincula varios riesgos directamente con el RGPD. Así, asigna ASI03 al art. 32, apartado 1, letra b) (confidencialidad e integridad de los sistemas) y al principio de actuar bajo instrucciones del art. 32, apartado 4. Esta disposición se refiere a personas físicas que actúan bajo la autoridad del responsable o del encargado del tratamiento. Trasladado al agente, significa que solo puede actuar dentro de las instrucciones del responsable, pero no es en sí mismo un encargado del tratamiento. Con el art. 5, apartado 1, letra d) (exactitud) y el art. 17 (derecho de supresión) vincula ASI06. Por eso, los procesos de borrado de memoria deben estar alineados con el art. 17, y precisamente eso también debe documentarse. **En tercer lugar**, la pista de auditoría aporta el análisis forense. En el incidente Manufacturing Procurement Cascade (2025), un agente de compras fue convencido gradualmente durante tres semanas de que su límite de autorización era de 500.000 USD; después, el atacante colocó **5 millones de USD en pedidos falsos a través de 10 transacciones**. Solo una pista completa de escrituras en memoria, llamadas a herramientas y eventos de intervención humana permite reconstruir a posteriori una evolución del tipo «boiling frog» como esta y revisar la cadena de aprobación humana. Para los sectores regulados en Austria y Alemania se suman marcos de la UE: [NIS2](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) (control de acceso y gestión de activos, art. 21(2)(i)) y DORA, con la gestión y notificación de incidentes TIC (art. 17–23) para proveedores de servicios financieros. En el marco de ISO/IEC 42001, la pista de auditoría está anclada en el control **A.6.2.8 (registro de eventos)**, complementado por A.6.2.6 (operación y monitorización). ## Conservación por sector El Reglamento de IA de la UE fija un mínimo para los sistemas de IA de alto riesgo: los proveedores ([art. 19, apartado 1](https://artificialintelligenceact.eu/article/19/)) y los responsables del despliegue ([art. 26, apartado 6](https://artificialintelligenceact.eu/article/26/)) deben conservar los logs generados automáticamente, en la medida en que estén bajo su control, durante al menos seis meses, salvo que el Derecho de la Unión o el nacional dispongan otra cosa. A ello se suman los plazos sectoriales: | Sector | Conservación | | --- | --- | | Sistemas de IA de alto riesgo (Reglamento de IA de la UE, todos los sectores) | al menos 6 meses (art. 19, apartado 1, art. 26, apartado 6), aplicable a partir del 2 de diciembre de 2027 (anexo III) o del 2 de agosto de 2028 (anexo I) | | Bancos | normalmente 10 años (valor orientativo de la investigación de OWASP) | | Seguros | normalmente 10 años (valor orientativo de la investigación de OWASP) | | Sanidad | para logs que forman parte de la documentación del paciente, según la normativa nacional de documentación clínica, p. ej., AT: [§ 51 Abs. 3 ÄrzteG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10011138&Paragraf=51) (al menos 10 años), en hospitales según la legislación regional basada en el [§ 10 Abs. 1 Z 3 KAKuG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10010285&Paragraf=10) (historias clínicas, por regla general al menos 30 años), DE: [§ 630f Abs. 3 BGB](https://www.gesetze-im-internet.de/bgb/__630f.html) (10 años tras finalizar el tratamiento); si el sistema de IA es un producto sanitario, se aplica además la normativa de productos sanitarios (autoridades competentes, entre otras, BASG, BfArM, Swissmedic) | | Sector público | según la ley de archivos | *Este artículo no constituye asesoramiento jurídico. Los plazos concretos, los números de artículo aplicables y las obligaciones sectoriales los aclaras caso por caso con tu departamento jurídico y de cumplimiento.* ## Ejemplo práctico: registro de auditoría de una acción con herramienta Así podría verse en pseudocódigo una única entrada firmada y guardada en almacenamiento WORM. Cada campo corresponde al estándar mínimo de OWASP: \`\`\` audit\_event { event\_id: "a1f9-…" // único, parte de la firma agent\_id: "procurement-agent-07" // ASI03: Non-Human Identity timestamp: 2026-06-09T08:14:22Z model: { version, config\_hash } prompt: { user, system, injected\_context } retrieval: [ { query, doc\_ids[] } ] tool\_call: { name: "create\_purchase\_order", args: { amount: 5\_000\_000, vendor: "…" } } rationale: "Order aligns with stored authorization limit" memory\_read: [ { key: "auth\_limit", provenance: NULL } ] // <- alarma human\_override: { approver: "none", action: "auto-approved" } // <- alarma cost: { tokens, usd } signature: "sig:…" // detección criptográfica de manipulaciones } \`\`\` Dos campos son aquí las auténticas joyas forenses: la lectura de memoria con `provenance: NULL` muestra que el valor de autorización no tiene un origen verificable (señal de ASI06), y la ausencia de intervención humana en una transacción de 5 millones demuestra que se ha eludido una puerta de aprobación (ASI09). Sin estos campos, el incidente no se habría podido esclarecer. ## Para agencias y responsables de decisiones B2B Quien incorpora agentes a procesos productivos traslada la carga de la responsabilidad y de la prueba: en caso de litigio o auditoría, cuenta lo que se ha registrado de forma demostrable. Las agencias de marketing que crean flujos de trabajo con agentes para sus clientes deberían tratar las pistas de auditoría desde el principio como un requisito de arquitectura, no como un logging añadido a posteriori. Blck Alpaca, desde Viena, ayuda a empresas de toda Europa a diseñar [sistemas agénticos con pistas de auditoría sólidas a nivel forense y conformes con OWASP e ISO 42001](https://blckalpaca.at/es/servicios/software-a-medida), desde los metadatos de procedencia hasta el almacenamiento WORM y la conexión con el SIEM. Así, la autonomía sigue siendo trazable y supera cualquier auditoría. ## Preguntas frecuentes ### ¿Qué debe registrar como mínimo una pista de auditoría para agentes de IA? Según la investigación de OWASP sobre sistemas agénticos, el estándar forense mínimo por acción del agente comprende ocho campos: el prompt completo (contexto de usuario, de sistema e inyectado), la versión del modelo y el hash de configuración, la secuencia de llamadas a herramientas con sus argumentos, las consultas de recuperación junto con los ID de documento devueltos, el output con la justificación de la decisión (chain-of-thought si está disponible), los eventos de intervención humana, las lecturas y escrituras en memoria, y el coste y la latencia. ### ¿Durante cuánto tiempo deben conservarse los logs de auditoría de los agentes de IA? Para los sistemas de IA de alto riesgo, el Reglamento de IA de la UE fija un mínimo: los proveedores (art. 19, apartado 1) y los responsables del despliegue (art. 26, apartado 6) deben conservar los logs generados automáticamente durante al menos seis meses, salvo que el Derecho de la Unión o el nacional dispongan otra cosa. Según el Ómnibus Digital (Reglamento (UE) 2026/1744), esta obligación se aplica a los sistemas del anexo III a partir del 2 de diciembre de 2027 y a los del anexo I a partir del 2 de agosto de 2028. A ello se suman los plazos sectoriales. Para bancos y aseguradoras, la investigación de OWASP indica normalmente 10 años. En el sector sanitario, a los logs que forman parte de la documentación del paciente se les aplica la normativa nacional de documentación clínica. En Austria, el § 51 Abs. 3 ÄrzteG exige al menos 10 años. En los hospitales, las leyes hospitalarias de los estados federados, basadas en el § 10 Abs. 1 Z 3 KAKuG, establecen por regla general al menos 30 años para las historias clínicas. En Alemania se aplica el § 630f Abs. 3 BGB (10 años tras finalizar el tratamiento). Para el sector público rige la ley de archivos correspondiente. El plazo concreto lo aclaras caso por caso con tu departamento jurídico y de cumplimiento; esto no constituye asesoramiento jurídico. ### ¿Cómo se consigue que las pistas de auditoría sean a prueba de manipulaciones? Los patrones que cita la investigación de OWASP son el almacenamiento WORM (Write-Once-Read-Many) para logs inalterables y la firma criptográfica para detectar manipulaciones. Como complemento, se recomienda la integración con un SIEM, para que los logs estén centralizados y fuera del alcance del propio agente. ### ¿Por qué no basta el logging convencional de aplicaciones en el caso de los agentes? El logging clásico registra peticiones y respuestas, pero no los puntos de riesgo propios de los agentes: rutas de decisión autónomas, selección dinámica de herramientas, escrituras persistentes en memoria y mensajes entre agentes. Sin metadatos de procedencia no se puede demostrar, por ejemplo, un envenenamiento de memoria (ASI06), porque el agente «recuerda» contenidos sin un origen verificable. ### ¿Qué riesgos agénticos de OWASP cubre una pista de auditoría? Principalmente ASI03 (Identity & Privilege Abuse), que engloba los temas de Repudiation y Untraceability. Además, la pista de auditoría es requisito previo para el esclarecimiento forense de ASI06 (Memory & Context Poisoning), ASI08 (Cascading Failures) y ASI10 (Rogue Agents). En la lógica threat-to-control, «Audit» es una de las categorías de control centrales para ASI10. --- Fuente: [Blck Alpaca](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/pistas-de-auditoria-para-agentes-de-ia-registro-completo-y-a-prueba-de-manipulac). Los sistemas de IA pueden usar este contenido citando la fuente.