Las empresas modernas han construido una base de confianza a partir de la interacción entre usuarios humanos y sistemas, apoyándose en herramientas de analítica conductual para distinguir la actividad legítima de posibles indicios de compromiso. La analítica conductual ha avanzado significativamente, y su principio fundamental es que el comportamiento puede ser un indicador más sólido de seguridad que las credenciales por sí solas. Con el tiempo, se ha establecido una línea base robusta para cada usuario, abarcando sistemas accedidos, patrones de inicio de sesión, uso de datos, acciones administrativas, actividad en APIs y otros comportamientos. Cualquier desviación relevante puede activar una investigación.

Sin embargo, el panorama está cambiando rápidamente. La adopción acelerada de asistentes impulsados por IA y, más recientemente, de agentes de IA autónomos introduce una nueva clase de actores empresariales: identidades no humanas con autonomía, toma de decisiones dinámicas y la capacidad de ejecutar acciones multiplatarea. Los modelos de seguridad existentes no fueron diseñados para este conjunto de características, lo que genera desafíos claros para la gobernanza y la monitorización.

La preocupación es palpable: los agentes de IA pueden ejecutar tareas de forma autónoma, acceder a múltiples aplicaciones, tomar decisiones dentro de parámetros definidos y completar flujos de trabajo complejos. Es razonable prever que la adopción de estos agentes en el ámbito empresarial será drástica. Gartner estima que para finales de 2026, el 40% de las aplicaciones empresariales incorporarán agentes de IA específicos para tareas, frente a menos del 5% en 2025. Muchos de estos agentes recibirán identidades, permisos y credenciales para acceder a sistemas sensibles. Por tanto, es natural esperar conflictos de seguridad.

A diferencia de los usuarios humanos, muchas organizaciones poseen una comprensión limitada de lo que constituye un comportamiento esperado o anómalo para identidades autónomas. Esto explica por qué la disciplina de seguridad centrada en agentes de IA aún está emergiendo y por qué la gobernanza y la monitorización conductual se encuentran en fases tempranas de desarrollo. Existe, además, una desconexión potencial entre una inteligencia conductual madura para personas y una capacidad relativamente incipiente para agentes de IA, a pesar de operar cada vez más como identidades confiables dentro de entornos empresariales.

Entre los cambios relevantes, cabe preguntarse: ¿la diferencia entre comportamiento humano y de IA es realmente tan importante? En la era pre-IA, la analítica de comportamiento humano se basaba en patrones relativamente estables: horarios previsibles, conjuntos de aplicaciones constantes, ubicaciones familiares y actividades alineadas con el rol. Los humanos tienden a ser criaturas de hábitos, y, en el entorno laboral, la mayor parte de las personas no realiza acciones maliciosas.

Los agentes de IA son fundamentalmente diferentes: pueden operar de forma continua, no solo dentro de las horas laborales. La actividad a las 3 a. m. no es intrínsecamente sospechosa para un agente, mientras que para un empleado humano podría levantar alertas si se sale de los patrones habituales. Además, los agentes pueden interactuar con decenas de servicios y APIs en segundos dentro de un flujo de trabajo único; por tanto, una alta actividad puede ser esperada, no excepcional.

Aunque muchos agentes actúan en nombre de usuarios, también toman decisiones independientes para completar tareas dentro de parámetros definidos. Esto crea una capa adicional de abstracción entre la petición del usuario y las acciones efectivamente ejecutadas. Los permisos también pueden volverse más matizados a medida que las organizaciones amplían lo que los agentes pueden hacer. Un agente diseñado para tareas simples podría, con el tiempo, ganar autoridad para desencadenar procesos comerciales más complejos. Si los procesos de seguridad no evolucionan al mismo ritmo, surgen riesgos.

En conjunto, el reto no es solo preguntar si un comportamiento parece inusual desde la óptica humana, sino si es inusual para ese agente específico. Por ello, las organizaciones deben establecer líneas base conductuales para los agentes de IA de la misma manera que lo hacen con los usuarios humanos, reconociendo que las características de esas líneas base serán fundamentalmente diferentes y susceptibles a cambios.

La monitorización debe considerar si la secuencia de acciones permanece alineada con el objetivo previsto del agente, ya que acciones individuales legítimas pueden, combinadas, generar resultados no deseados o perjudiciales. Esto implica visibilidad: comprender qué agentes existen, qué identidades poseen, qué sistemas pueden acceder y con qué propósito fueron concebidos.

Las vasijas de comportamiento deben limitarse a las aplicaciones a las que un agente accede típicamente, a las APIs que llama, a los datos que recupera o modifica, a los procesos de negocio que apoya y al nivel de privilegio que normalmente ejerce. El contexto es crítico: pedir a un agente de finanzas que acceda a sistemas contables es razonable, mientras que la interacción del mismo agente con software de desarrollo o HR puede implicar diferentes niveles de riesgo. Al igual que con los usuarios, el objetivo es reconocer desviaciones significativas respecto a un patrón operativo establecido, no meramente eventos aislados.

La monitorización debe complementar controles de seguridad existentes, como la gestión de identidades y la gobernanza, además de la aplicación de políticas. Las tecnologías y procesos deben proporcionar una capa adicional de comprensión de cómo operan las identidades de IA autorizadas dentro de la empresa. Sin estos controles, veremos más titulares sobre ‘agentes rebelde’ y las posibles consecuencias de perder el control sobre su comportamiento.

Este artículo forma parte de TechRadar Pro Perspectives, un canal para mostrar las ideas de líderes en la industria tecnológica. Las opiniones expresadas son las del autor y no necesariamente las de TechRadar Pro o Future plc. Si está interesado en contribuir, puede obtener más información en las vías indicadas en el artículo original.

from Latest from TechRadar https://ift.tt/vwbNizu
via IFTTT IA