La era de la IA en la que solo se hacían preguntas y se obtenían respuestas ha quedado atrás con el rápido surgimiento de los agentes de IA. Desde las orquestaciones de API de backend hasta los flujos de trabajo autónomos de servicio al cliente, los agentes de IA parecen ser la nueva fuerza laboral digital. Sin embargo, aunque la productividad puede aumentar, estas “identidades no humanas” pueden funcionar en la sombra y obtener acceso de alto nivel sin la supervisión de los protocolos de identidad tradicionales.
Dado que la visibilidad es el único antídoto para este riesgo emergente, nos complace anunciar que la detección de agentes, una función de Identity Security Posture Management de Okta, ya está disponible mediante acceso anticipado. Al capturar los “intercambios” entre los empleados y las herramientas de IA que utilizan, Okta se encarga de brindar seguridad “desde la raíz” y transforma en identidades gestionadas a los agentes de IA en la sombra. La función de detección de agentes también está disponible en Okta for AI Agents como parte de ISPM. La solución general de Okta for AI Agents ahora también está disponible mediante acceso anticipado.
La brecha de visibilidad: riesgos críticos para los líderes de seguridad
Hoy en día, los responsables de seguridad tienen dificultades para responder preguntas esenciales como las siguientes:
- ¿Se filtran de nuestra empresa datos de propiedad intelectual o de clientes a través de herramientas de IA no autorizadas?
- Gastamos millones y aprobamos plataformas de creación de IA para acelerar la productividad. ¿Cuáles son los riesgos asociados? ¿Cuál sería el peor escenario si sufrimos un hackeo?
- ¿Qué claves de API no rotadas y con privilegios excesivos están actualmente detrás de agentes críticos, y quién es el responsable humano si actúan de forma indebida?
Si todavía no puede responder a estas preguntas, no le pasa solo a usted. En la carrera por implementar agentes en la empresa, estamos creando una brecha enorme de visibilidad. Lograr claridad es esencial para generar confianza en la postura de seguridad de los agentes de IA.
Con la detección de agentes, puede conseguir esta visibilidad fácilmente en cuatro etapas clave. A continuación, le ofrecemos un manual de estrategias para ayudarle a recuperar el control de su entorno de IA:
Etapa 1. Conozca a los agentes de sus plataformas de IA considerados ”las joyas de la corona“
Autorización y visibilidad no son lo mismo. Si bien los equipos de IA desarrollan rápidamente dentro de entornos autorizados, como Microsoft Copilot, Salesforce Agentforce, AWS Bedrock, OpenAI, Google Vertex AI y Gemini Enterprise, los equipos de seguridad suelen carecer de acceso de administrador o del conocimiento especializado para realizar auditorías en estos entornos de producción. Incluso para los equipos con los mejores recursos disponibles, el enorme volumen de agentes hace que la supervisión manual sea imposible.
Como consecuencia, se genera una peligrosa desigualdad en términos de responsabilidad, ya que usted es responsable del radio de explosión de una filtración de IA, pero no tiene forma de verificar el estado actual del riesgo. Para prevenir incidentes, es necesario poder establecer y auditar los controles de configuración. Sin embargo, ¿puede detectar si a un agente se le concedieron permisos de ”superadministrador“ para simplificar la configuración o si está vinculando peligrosamente el acceso entre producción crítica e inquilinos de desarrollo inseguros?
Después de un incidente, si un agente dentro de estas plataformas está en riesgo, ¿podría proporcionar una lista específica de los datos a los que puede acceder?
No le queda otra opción que confiar, pero debe verificar. Sin embargo, sin un inventario automatizado de agentes y permisos, la verificación es imposible.
La solución de Okta: obtenga análisis profundos de estas ”joyas de la corona“ para identificar quién es el propietario de cada agente, qué pueden hacer realmente esos agentes y dónde residen los riesgos principales. Esto saca las plataformas ”aprobadas“ de la sombra y las convierte en activos gestionados, de modo que “autorizado” sea sinónimo de “seguro”.
Etapa 2. Detecte a agentes desconocidos y poderosos integrados en plataformas no autorizadas
No se puede gobernar lo que no se puede ver. Si bien la mayoría de las organizaciones usan unas pocas herramientas aprobadas, es posible que se esté produciendo una expansión inadvertida de la superficie de ataque entre sus departamentos. Esta “capa desconocida” de la IA incluye plataformas no autorizadas, creadores de agentes no verificados y servidores MCP ocultos, que funcionan fuera de la vista de los equipos de seguridad y TI.
Un factor crítico de este riesgo son las concesiones de permisos de OAuth. Para que los agentes ocultos o propios funcionen, los empleados les otorgan acceso a los datos empresariales centrales a través del consentimiento del usuario. Este proceso genera un token de OAuth: una clave digital que permite a una aplicación acceder a datos y realizar acciones en nombre de un usuario.
La solución de Okta: el complemento Okta Secure Access Monitor (SAM) para el navegador proporciona a ISPM señales de OAuth en tiempo real para que usted tome el control.
- Identifique agentes creados en plataformas no aprobadas.
- Identifique el acceso con privilegios excesivos: detecte “ámbitos” específicos que otorguen a los agentes permisos peligrosos.
- Exponga SaaS en la sombra: detecte aplicaciones no autorizadas que omitan las revisiones legales y de privacidad, y que expongan a la organización a riesgos normativos y de residencia de datos.
Con la solución Okta for AI Agents, Okta le ayuda a poner a estos agentes bajo control al registrarlos como identidades conocidas y gestionadas en Okta, aplicar políticas de protección y asignar propietarios humanos.
Etapa 3. Refuerce la capa de identidad protegiendo identidades no humanas
Los agentes de IA se ejecutan en múltiples identidades no humanas, incluidos los tokens de API, las claves de acceso, los principales de servicio y los tokens de OAuth. Para proteger a la IA, es necesario ir más allá del “bot” y empezar a reforzar las claves técnicas que permiten a los agentes operar en aplicaciones y datos críticos. Esto requiere una visibilidad profunda de las conexiones del gráfico entre el agente de IA, la persona que lo creó, las identidades no humanas específicas que hay detrás y las aplicaciones a las que puede acceder.
La solución de Okta: Okta ofrece visibilidad de varios tipos de identidades no humanas en SaaS, IdP, infraestructuras en la nube y AD local, todo dentro de una sola vista. Ayuda a reducir drásticamente los riesgos de sus agentes de IA al priorizar más de 25 detecciones de riesgos (asociadas a los 10 principales riesgos de las identidades no humanas de OWASP) para identificar brechas críticas, como credenciales con privilegios excesivos o no rotadas, antes de que se usen para poner en riesgo a sus agentes de IA.
Etapa 4. Transforme la visibilidad en saneamiento con una plataforma de identidad unificada y consolidada
Aproveche la ventaja de Okta, que le permite integrar a sus agentes de IA detectados y a las identidades no humanas detrás de ellos en la misma plataforma de identidad con Okta for AI Agents. Okta es neutral frente a los proveedores, y le ayuda a detectar a los agentes sin importar su origen. Esta consolidación permite aplicar una política de seguridad uniforme para toda la fuerza laboral, tanto humana como no humana.
Conclusión: seguridad de la identidad equivale a seguridad de la IA
La transición a una fuerza laboral autónoma no tiene por qué ser una decisión entre velocidad o seguridad. En esencia, la seguridad de la IA es seguridad de la identidad. Al incluir a los agentes de IA en su estructura actual de seguridad de la identidad, pasan de ser riesgos desconocidos a activos gobernados que impulsan la innovación sin expandir el radio de explosión.
- ¿Quiere obtener más información? Descubra cómo Okta protege a la IA desde la primera línea de código y durante todo el ciclo de vida de los agentes.
- ¿Le interesa conocer nuestro trabajo? Mire esta demo donde se explica cómo protegemos el ciclo de vida de los agentes de IA.
* En este blog, podrían mencionarse soluciones, funciones, funcionalidades, certificaciones, autorizaciones o verificaciones que todavía no están disponibles para el público en general o no se han conseguido. Incluso es posible que no estén listas a tiempo o que nunca lleguen a estarlo. No asumimos ninguna obligación de entregarlas y usted no debería depender de ellas para tomar sus decisiones de compra.
