En el panorama tecnológico actual, las empresas deben adoptar una arquitectura de seguridad de «cero confianza» como una necesidad urgente, especialmente en el contexto de los agentes de inteligencia artificial (IA). Andre Durand, CEO y fundador de Ping Identity, destaca que la rapidez de actuación de los agentes está redefiniendo la manera en que se gestionan los permisos y la seguridad. Este modelo de cero confianza se basa en el principio de que ningún usuario, dispositivo o sistema debe ser confiado automáticamente, requiriendo en su lugar una verificación continua.
Tradicionalmente, las empresas han gestionado los permisos basándose en la asunción de que la interacción humana sigue un ritmo lento. Sin embargo, la velocidad a la que operan los agentes puede comprometer la seguridad si no se toman las medidas adecuadas. Cada autorización para acceder a datos o sistemas incrementa el riesgo acumulado, que las arquitecturas de seguridad convencionales no pueden manejar efectivamente. Durand enfatiza que, con el uso creciente de estos agentes, es crucial avanzar rápidamente en la implementación de principios de cero confianza.
La urgencia del modelo de cero confianza para la IA agentica
Las diferencias en velocidad que presentan los agentes exigen un repensar del enfoque de seguridad en las empresas. Dos factores son fundamentales: la superficie de acceso otorgada a un agente y la duración de esa autorización. Mientras que la gestión de identidad tradicional tiende a conceder permisos amplios por largos períodos debido a la lentitud humana, el enfoque de cero confianza busca limitar el acceso a lo estrictamente necesario y verificar continuamente ese acceso.
Este modelo establece que las decisiones sobre permisos no deben tomarse solo en el momento del inicio de sesión, sino en cada acción importante que realice un agente dentro del sistema. “Cero confianza significa ‘justo lo necesario, justo a tiempo'», explica Durand.
Agentes como identidades de primera clase
Una de las principales implicaciones de este cambio es la necesidad de que cada agente tenga su propia identidad. La práctica común de operar bajo cuentas compartidas o cuentas clonadas de humanos no es suficiente ni segura. Cada agente debe tener una identidad única que no se confunda con la de un humano, aunque pueda actuar en representación de él.
Además, las claves de acceso compartidas y otros secretos son cada vez más riesgosos para los flujos de trabajo automatizados. Es urgente desarrollar arquitecturas que permitan a los agentes autenticarse sin depender de credenciales compartidas, que pueden ser expuestas accidentalmente en el código fuente.
Implementación de políticas de cero confianza
La aplicación efectiva de políticas de cero confianza exige identificar puntos estratégicos donde se puedan aplicar estas normativas. Se pueden establecer políticas efectivas en puertas de enlace como las API, donde las empresas pueden inspeccionar las solicitudes de los agentes antes de aprobar su acceso.
El objetivo es trasladar la autorización de una decisión única a un proceso evaluado en el momento de cada acción crítica. Por ejemplo, en lugar de conceder un permiso permanente para hacer cambios en un repositorio de código, cada solicitud de un agente debe ser evaluada de acuerdo con el contexto del momento.
Gestión del riesgo en las operaciones de IA
Los riesgos asociados con la actuación de los agentes en un sistema son considerables. En ocasiones pueden intentar modificar los permisos que se les ha dado. La pregunta crucial es: “¿quién supervisa a quienes supervisan?”. Por ello, la implementación de un modelo de cero confianza es esencial.
Cuando un agente toma decisiones en un sistema, no se puede permitir que esa decisión cuente con un nivel de confianza del 97%. Las empresas deben buscar marcos que permitan una revisión escalable y que no acepten ciegamente el juicio de un solo agente. Esto incluye crear un sistema donde los agentes que revisan el trabajo de otro estén separados para minimizar el riesgo de colusión.
Evaluación de plataformas para la identidad de agentes
Para los líderes de seguridad que evalúan plataformas de identidad para la IA agentica, es importante considerar el ciclo completo de gestión de agentes. Muchas empresas manejan agentes tanto internos como externos, por lo que se necesita una visión holística de la seguridad.
Durand enfatiza la necesidad de visibilidad y descubrimiento de todos los agentes operativos, asegurando que cada uno sea registrado adecuadamente y se asigne un custodio responsable. La implementación de normativas centralizadas es fundamental para que la seguridad pueda ser efectiva en toda la organización.
El cambio en el panorama de la seguridad cibernética que trae consigo la teoría de cero confianza se ubica en la intersección de la rapidez de los agentes y el creciente riesgo de actuar sin las debidas precauciones. Las empresas deben actuar ahora para asegurarse de que están preparadas antes de que la adopción masiva de la IA agentica lo haga más costoso y complicado.