Agentes de IA bajo control: identidad, permisos y trazabilidad para un uso seguro

Cuando la autonomía también necesita límites

Los agentes de inteligencia artificial están evolucionando más allá de responder preguntas o entregar recomendaciones. Hoy pueden interactuar con aplicaciones, navegar por plataformas, configurar filtros, completar formularios y ejecutar acciones directamente dentro de los entornos de trabajo.

Esta capacidad abre nuevas posibilidades para automatizar procesos y mejorar la productividad. Sin embargo, también plantea una pregunta importante para las organizaciones: ¿quién controla realmente las acciones que ejecuta un agente de IA cuando utiliza la sesión de una persona?

El desafío aparece cuando un agente opera con los mismos permisos y credenciales que un usuario humano. Aunque la tarea asignada sea específica, el agente podría disponer de acceso a información o funcionalidades que exceden lo necesario para cumplirla.

Una experiencia desarrollada por Token, empresa especializada en seguridad de identidades, permitió poner este problema en evidencia. Al construir un agente de navegador llamado Rehearsal, identificaron tres principios que deberían acompañar cualquier implementación empresarial: identidad propia para el agente, acceso limitado a la tarea asignada y trazabilidad independiente de la actividad humana.

El problema de compartir la identidad de un usuario

Para comprender el riesgo, primero es necesario entender cómo funcionan muchos agentes de navegador.

Cuando un usuario inicia sesión en una plataforma corporativa, el navegador mantiene una sesión autenticada que permite acceder a las funcionalidades y datos correspondientes a sus permisos.

Si un agente de IA comienza a interactuar con esa misma sesión, puede navegar y ejecutar acciones utilizando la identidad del usuario.

Desde la perspectiva de la aplicación, los clics realizados por el agente pueden ser indistinguibles de los realizados por la persona. La sesión reconoce al usuario autenticado, pero no necesariamente identifica quién está controlando el navegador en ese momento.

Esto genera una brecha de visibilidad: la organización puede registrar una acción asociada a una cuenta, pero no siempre tiene información suficiente para determinar si fue ejecutada por una persona o por un agente automatizado.

El problema no se limita a la identificación. Si el agente hereda todos los privilegios del usuario, también puede quedar expuesto a realizar acciones fuera del alcance previsto para su tarea.

Por ejemplo, un agente diseñado para consultar información dentro de un CRM podría encontrarse operando en una sesión que también le permite modificar registros, completar campos sensibles o ejecutar otras operaciones.

La automatización resulta útil, pero necesita límites claros.

Rehearsal: un agente diseñado para evidenciar los riesgos

En el artículo publicado por Token, la compañía presenta Rehearsal, un agente creado para responder preguntas dentro de su propia plataforma mediante acciones directas.

En lugar de limitarse a explicar cómo realizar una operación, el agente puede abrir páginas, configurar filtros y completar formularios dentro del navegador.

Precisamente por esa capacidad de interacción, Rehearsal permitió identificar los desafíos de seguridad asociados a los agentes que operan dentro de sesiones autenticadas.

Al controlar tanto el agente como la aplicación, Token podía implementar medidas que serían más difíciles de aplicar cuando el agente interactúa con plataformas externas.

Entre los controles descritos se encuentran:

• Identificación de quién controla la sesión: la aplicación puede reconocer cuándo el agente está realizando acciones.
• Visibilidad durante la ejecución: la interfaz indica quién tiene el control y limita la interacción humana mientras el agente trabaja.
• Registro de actividad: se documentan los movimientos de cada sesión, incluidos aquellos que fueron bloqueados.
• Permisos acotados: el agente opera dentro del alcance definido para el usuario y la tarea.
• Aprobación humana: determinadas operaciones requieren autorización antes de ejecutarse.

En el caso de Rehearsal, también se establecieron restricciones para mantener los paneles en modo de solo lectura, evitar el ingreso de información en campos secretos y respetar las operaciones rechazadas por la plataforma.

Estas medidas demuestran que la seguridad de un agente no depende únicamente de su capacidad para interpretar instrucciones. También requiere mecanismos que limiten lo que puede hacer.

Tres principios para gestionar la seguridad de los agentes de IA

A partir de esta experiencia, es posible identificar tres elementos fundamentales que las organizaciones deberían considerar al incorporar agentes autónomos en sus operaciones.

1. Identidad propia para cada agente

Un agente debe poder identificarse como una entidad independiente de la persona que lo utiliza.

Si todas sus acciones quedan registradas bajo la identidad de un usuario humano, la organización pierde visibilidad sobre quién ejecutó realmente una operación.

Contar con una identidad diferenciada permite asociar las actividades a un agente específico, identificar a su responsable y establecer controles de acceso más precisos.

Esto también facilita investigar incidentes, revisar comportamientos y determinar qué automatizaciones interactuaron con determinados recursos.

2. Acceso limitado según la tarea asignada

Los agentes no deberían recibir automáticamente todos los permisos de la persona que los utiliza.

El acceso debe responder a la función que deben cumplir. Un agente encargado de consultar información no necesita necesariamente permisos para modificar registros, eliminar datos o ejecutar operaciones sensibles.

Este enfoque se relaciona directamente con el principio de mínimo privilegio: entregar únicamente los permisos indispensables para realizar una actividad.

Además, las operaciones con consecuencias importantes o difíciles de revertir deberían incorporar mecanismos de aprobación humana.

De esta manera, la autonomía del agente puede mantenerse dentro de límites definidos por la organización.

3. Trazabilidad independiente de la actividad humana

Las organizaciones necesitan distinguir las acciones realizadas por personas de aquellas ejecutadas por agentes automatizados.

Para conseguirlo, los registros deben permitir identificar al agente, conocer quién delegó la tarea, determinar qué permisos tenía y reconstruir las acciones realizadas.

Esta información resulta especialmente importante durante una investigación de seguridad.

Si una operación modifica información corporativa o accede a un recurso sensible, los equipos responsables deberían poder determinar si fue una acción humana, una automatización autorizada o un comportamiento que requiere revisión.

La trazabilidad no debe limitarse a registrar las operaciones exitosas. También es relevante conservar información sobre acciones bloqueadas o intentos que excedieron los permisos establecidos.

Los estándares están avanzando, pero todavía existen desafíos

El desarrollo de agentes autónomos está impulsando nuevas iniciativas para mejorar la comunicación y la seguridad entre navegadores, aplicaciones y sistemas automatizados.

El artículo de Token destaca tres enfoques que buscan abordar distintas partes del problema.

Navegadores con controles para agentes: los navegadores pueden identificar cuándo una automatización está activa y aplicar restricciones adicionales. Entre los ejemplos mencionados se encuentran las aprobaciones antes de realizar acciones sensibles, la limitación de sitios disponibles y la pausa de la automatización antes de introducir información confidencial.

WebMCP: esta iniciativa, descrita como un borrador en desarrollo dentro de un grupo comunitario del W3C, busca permitir que los sitios web expongan acciones directamente utilizables por agentes. También contempla distinguir entre operaciones de solo lectura y acciones con consecuencias.

Web Bot Auth: este borrador del grupo de trabajo de la IETF busca proporcionar mecanismos para verificar qué agente realizó una solicitud. Sin embargo, según el análisis de Token, todavía no resuelve por sí solo cómo representar la delegación de una tarea por parte de una persona.

Cada iniciativa aporta una pieza importante, pero todavía existe un desafío: conectar la identidad del agente, la persona responsable y el alcance de la tarea en un mismo contexto verificable.

Mientras estos mecanismos evolucionan, las organizaciones necesitan establecer controles propios para gestionar las automatizaciones que ya están utilizando.

¿Qué pueden hacer las empresas desde ahora?

Esperar a que los estándares estén completamente definidos no debería ser la estrategia de seguridad de una organización.

Los equipos de TI y ciberseguridad pueden comenzar identificando qué agentes tienen acceso a las aplicaciones corporativas, qué permisos utilizan y bajo qué identidades operan.

Entre las medidas prioritarias se encuentran:

1. Inventariar los agentes y sus puntos de acceso. Identificar agentes de navegador, extensiones y automatizaciones que puedan interactuar con sesiones autenticadas. También es importante conocer qué usuarios y áreas utilizan estas herramientas.

2. Identificar responsables y propietarios. Cada agente debería estar asociado a un responsable dentro de la organización. Esto permite conocer quién autorizó su implementación y quién debe supervisar su funcionamiento.

3. Revisar los permisos asignados. Evaluar qué aplicaciones, identidades y recursos puede utilizar cada agente. Los privilegios deben corresponder a sus funciones y evitar accesos innecesarios.

4. Establecer aprobaciones para operaciones sensibles. Las acciones que involucren modificaciones importantes, eliminación de información, pagos o envíos masivos deberían contar con mecanismos de validación adicionales.

5. Fortalecer los registros de auditoría. Revisar si las plataformas permiten diferenciar la actividad de los agentes de la actividad humana. Cuando no sea posible, es necesario evaluar mecanismos complementarios de supervisión.

6. Evaluar posibles rutas de abuso de privilegios. Analizar si un agente podría utilizar los permisos de una sesión humana para acceder a información o ejecutar operaciones que excedan la tarea originalmente asignada.

Estas medidas permiten avanzar hacia una adopción más controlada de la inteligencia artificial, sin renunciar a sus beneficios operativos.

Conclusión: la autonomía necesita una estrategia de seguridad

Los agentes de inteligencia artificial están cambiando la forma en que las personas interactúan con las aplicaciones y los sistemas empresariales. Su capacidad para ejecutar tareas de manera autónoma puede simplificar procesos, reducir tiempos y mejorar la eficiencia.

Pero esa autonomía también introduce nuevas responsabilidades para las organizaciones.

Un agente que utiliza la identidad de una persona, hereda sus permisos y no deja registros diferenciados puede convertirse en un punto ciego dentro de la estrategia de seguridad.

Por eso, la gestión de estos sistemas debe considerar tres elementos desde el inicio: identidad independiente, privilegios limitados y trazabilidad de cada acción.

La incorporación de inteligencia artificial en los entornos corporativos debe avanzar junto con políticas de acceso, supervisión y control capaces de mantener la actividad de los agentes dentro de límites definidos.

En 8Layer, entendemos que la evolución tecnológica requiere una gestión de seguridad que acompañe cada nueva capacidad incorporada a la organización. Porque aprovechar el potencial de la inteligencia artificial también significa establecer las condiciones para utilizarla de manera segura y responsable.