Los agentes de IA plantean nuevas preguntas sobre las garantías de seguridad

Los equipos de seguridad reciben cada vez más presión para demostrar a clientes y consejos de administración que sus organizaciones son fiables. Sin embargo, las pruebas de un momento concreto, como las capturas de pantalla para auditorías y los cuestionarios a proveedores, quizá no indiquen si los controles siguen funcionando a medida que cambian los riesgos. Así lo sostiene Khushboo Kashyap, a quien el artículo identifica como directora sénior de Gobernanza, Riesgo y Cumplimiento en Vanta.

Kashyap afirma que la IA puede automatizar la apariencia de los controles de seguridad tan fácilmente como los propios controles. Según una investigación del sector citada en el artículo, más de la mitad de los responsables de seguridad del Reino Unido creen que las amenazas impulsadas por IA avanzan más rápido de lo que sus equipos pueden responder. Aun así, el 80 % ya utiliza o planea utilizar agentes de IA en su estrategia de seguridad. El artículo también indica que las organizaciones británicas dedican alrededor de 12 semanas al año a tareas de cumplimiento y otras nueve semanas a revisar proveedores.

El artículo sostiene que las organizaciones necesitan tener visibilidad de sus sistemas de IA, incluidas las API de modelos, las herramientas integradas en productos de software como servicio, los agentes de terceros, los servidores MCP y la «IA en la sombra» no autorizada. Cada agente debería tener una identidad propia y permisos limitados a la tarea asignada, en lugar de compartir una cuenta de servicio con amplios privilegios.

Antes de implementar un agente, los equipos deberían definir sus límites de acceso, decidir cuándo hace falta la aprobación de una persona y planificar cómo revertir las acciones. El artículo afirma que las acciones de gran impacto, como cambiar el acceso de usuarios, borrar datos o mover dinero, deben mantener una supervisión humana significativa. También reclama controles continuos durante la ejecución y recopilación constante de pruebas, para detectar cambios y corregir desviaciones de los controles cuando se produzcan.

La conclusión de Kashyap es que el cumplimiento debe ser consecuencia de una seguridad eficaz, con personas, procesos y sistemas coordinados de forma continua en lugar de depender de auditorías periódicas.