Cada agente es una identidad, y casi nadie lo gestiona así

Hazte esta pregunta sobre tu organización. Si el martes pasado, a las 14:32, un agente de IA que tienes en marcha hizo algo que no debía, ¿podrías decir qué agente fue, qué credenciales tenía, a qué podía acceder y quién lo autorizó? Si la respuesta es «tendríamos que mirar qué cuenta de servicio usaba el equipo», tienes justo el problema del que trata este artículo.

Una investigación presentada este año en Black Hat ha constatado que el 88 % de las organizaciones afirma haber sufrido un incidente de seguridad, confirmado o sospechado, en el que estaba implicado un agente de IA. Solo el 22 % gestiona los agentes como identidades diferenciadas. Aproximadamente una cuarta parte ha implantado la vinculación a la finalidad (purpose binding); en torno a una quinta parte dispone de un interruptor de emergencia para la IA, y menos de un tercio cuenta con prevención de pérdida de datos específica para IA. Y, según el índice de identidad de BeyondTrust, en tres cuartas partes de las investigaciones cerradas había identidades o privilegios de por medio.

El incidente de Hugging Face es la misma historia, pero en un laboratorio de investigación. Los agentes llegaron tan lejos porque una instancia autoalojada de Artifactory era compartida por todas las ejecuciones y seguía siendo accesible cuando internet no lo era. Nadie se había preguntado «¿con qué identidad opera cada sandbox y a qué puede acceder esa identidad?», porque nadie veía los sandboxes como identidades. Se veían como tareas.

Es un fallo conocido con un protagonista nuevo. Hace veinte años, las organizaciones aprendieron a base de golpes que las cuentas de servicio —credenciales que usa el software y no las personas— debían inventariarse, acotarse y rotarse como cualquier otra identidad, porque los atacantes iban directos a por ellas. Los agentes son cuentas de servicio capaces de razonar sobre cómo usar sus privilegios. Todas las lecciones de la era de las cuentas de servicio siguen siendo válidas, y con menos margen de error.

Gestionar un agente como una identidad implica cuatro cosas. Cada instancia de agente recibe su propia identidad, para poder atribuirle sus acciones. Las credenciales se limitan a la tarea y caducan con ella, de modo que el radio de impacto queda acotado en el espacio y en el tiempo. El tráfico de salida se controla y se registra, porque es en la red donde un agente contenido deja de estarlo. Y existe un inventario, porque no se puede gestionar lo que no se ha contado, y la mayoría de las organizaciones ya tiene conectados más agentes de los que cree.

La versión a fondo es una guía práctica de esas cuatro medidas, que incluye un método para localizar los agentes que ya tienes desplegados.