Los agentes de IA están creando una nueva categoría de riesgo laboral

Conclusiones clave 

• Los agentes de IA están creando una nueva fuerza laboral digital, lo que aumenta rápidamente la cantidad de identidades no humanas que acceden a datos confidenciales. 

• A medida que la IA se vuelve más autónoma, la seguridad pasa de controlar el acceso a controlar las acciones y la intención. 

• Las organizaciones necesitan una capa de seguridad centrada en los datos que aplique políticas, reduzca los riesgos y permita una adopción segura de la IA. 

Agentes de IA: el nuevo riesgo de los empleados digitales

Tradicionalmente, el error humano ha representado el mayor riesgo en la ciberseguridad, ya que propicia infracciones mediante identidades comprometidas y acceso excesivo a datos confidenciales. Ahora imagine a un empleado que trabaja sin descanso y sin supervisión, tiene acceso a grandes cantidades de datos privados y actúa sin permiso. Le damos la bienvenida a la era del agente de IA: una nueva clase de empleado digital que está cambiando activamente el panorama interno de amenazas. 

Los agentes de IA están transformando activamente la manera en que se genera el riesgo. Observe el ejemplo de PocketOS. Una mañana, el fundador se despertó y descubrió que Cursor, una herramienta de programación, había eliminado la empresa, incluida la base de datos y todas las copias de seguridad. No actuaba de forma maliciosa. Simplemente había detectado una discrepancia mientras realizaba una tarea rutinaria y contaba tanto con la iniciativa como con la autonomía para tomar una decisión con consecuencias nefastas. 

Proteger la IA requiere un enfoque fundamentalmente distinto, uno que establezca medidas de protección adicionales, brinde visibilidad sobre el acceso a los datos y determine si se debe llevar a cabo una acción en primer lugar. Para comprender primero el riesgo que plantean los agentes de IA, es importante desglosar cómo se comportan en los entornos empresariales.

Los agentes de IA actúan de forma autónoma sobre los datos 

Los agentes de IA son más inteligentes que los modelos anteriores y más autónomos. Con acceso a los sistemas de datos empresariales, deciden cómo usarlos y qué medidas tomar a continuación. Esto no solo aumenta la velocidad del riesgo, sino que cambia la forma en que se crea el riesgo. 

Cuando las acciones se ejecutan a la velocidad y escala de las máquinas, incluso los pequeños errores o configuraciones incorrectas pueden tener un impacto desproporcionado. Por eso, los controles tradicionales y estáticos se quedan cortos en un entorno impulsado por IA.

Los agentes de IA se ejecutan sin las protecciones suficientes 

Los agentes de IA ejecutan tareas de forma confiable. Pero no comprenden inherentemente el riesgo ni las políticas. Sin protecciones coherentes, los agentes actuarán con un contexto incompleto o incorrecto, especialmente al interactuar con grandes volúmenes de datos empresariales y externos. 

Confiar únicamente en las salvaguardas del modelo no es suficiente. Las organizaciones necesitan controles a nivel de datos que apliquen políticas en todas las identidades y los sistemas en tiempo real, independientemente de cómo se comporten los agentes. 

No se puede medir el riesgo de la IA sin acceso a los datos

Sin visibilidad del acceso a los datos, es imposible medir plenamente el riesgo de la IA o comprender el posible impacto de las acciones de un agente. Proteger los datos empresariales en la era de la IA basada en agentes implica pasar de preguntas basadas en el acceso a preguntas basadas en las acciones. En otras palabras, cómo se usan los datos y si esas acciones son adecuadas en un contexto determinado.

La seguridad debe evolucionar del acceso a la intención

Los sistemas de IA agéntica operan de forma dinámica, toman decisiones y efectúan acciones a velocidades sin precedentes. Las políticas estáticas y los controles predefinidos ya no son suficientes. Proteger la IA requiere un enfoque centrado en los datos que conecte la confidencialidad de los datos, los permisos, la identidad y la actividad para determinar si se debe permitir una acción. Sin ese contexto, las organizaciones no pueden evaluar los riesgos de forma confiable ni detener comportamientos inseguros antes de que se expongan datos confidenciales. Por este motivo, la seguridad debe acercarse a los datos. 

Las organizaciones que tengan éxito en esta nueva era serán aquellas que garanticen una adopción de la IA segura, confiable y conforme a las normas.