¿En nombre de quién, y de qué, puede actuar la IA?
Baseline: 3Enhanced: 4Advanced: 29 controles
A quién se aplica
Se entra en cada sistema de IA. Algunos de sus controles solo aplican si lo integráis, lo configuráis o lo entrenáis (B1), si actúa por su cuenta (B3), o ambas cosas. Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Trata a toda IA capaz de actuar como a una persona que acabas de contratar: recibe su propia identidad, solo el acceso que exige su trabajo, y devuelve sus llaves cuando se va. Cada agente, asistente y conector que ejecuta acciones lo hace bajo alguna identidad y con alguna credencial, y los fallos de seguridad de IA más dañinos rara vez son un modelo diciendo algo incorrecto. Son un componente autónomo actuando con más privilegio del que su tarea necesitaba: leyendo lo que no tenía que leer, enviando lo que nunca debió poder enviar. El daño vive en el privilegio, no en lo que se dice; acota el privilegio en consecuencia, y con más rigor del que aplicarías a una persona, porque una IA actúa más deprisa, sin cansarse y sin instinto para notar cuándo algo no cuadra.
Qué hacer
Dale a cada agente y a cada conector su propia identidad, nunca una prestada. No dejes que una IA actúe bajo la cuenta personal de un desarrollador ni que comparta con otros sistemas una cuenta de servicio amplia y poderosa. Cada componente que actúa recibe su propia identidad, con sus propias credenciales, acotada a su propia tarea. Eso es lo que hace posible el mínimo privilegio, lo que hace atribuible un rastro de auditoría —puedes ver qué hizo el agente, como agente— y lo que hace limpia la retirada: cuando el sistema se da de baja (ciclo de vida de gobernanza), su identidad se revoca y no se rompe nada más. Una identidad prestada puede hacer todo lo que puede hacer su dueño, y eso siempre es demasiado.
Separa el poder de leer del poder de actuar, y pon a una persona delante de las acciones peligrosas. Un agente que puede leer tu calendario y otro que puede enviar correo en tu nombre son animales distintos; concede las dos capacidades por separado, y nunca las agrupes por defecto. Para las acciones que pueden hacer daño de verdad —enviar fuera de la organización, mover dinero, borrar datos, cambiar el acceso de alguien—, exige que una persona apruebe la acción concreta en el momento en que ocurre. Una instrucción bien redactada que le diga al agente que tenga cuidado no es un control; una aprobación humana sin la cual el sistema no puede continuar, sí. Esta es la aplicación técnica de la regla de reversibilidad que fijaste en gobernanza: las acciones irreversibles no se ejecutan por el criterio de una máquina.
Nunca dejes que un solo agente reúna las tres propiedades peligrosas a la vez. Tres propiedades, combinadas en un mismo agente, forman una cadena completa de robo de datos: acceso a datos sensibles; exposición a contenido fuera de tu control (documentos, correo, páginas web; cualquier cosa que pueda haber escrito un atacante); y capacidad de comunicarse hacia fuera. Quien consiga plantar instrucciones en el contenido que lee un agente así puede sacar tus datos por el propio canal de comunicación del agente, sin acceso propio alguno. Para cada flujo de trabajo con agentes, elimina deliberadamente al menos una de las tres, lo más habitual la comunicación saliente o la exposición a contenido no confiable. Diseña el triángulo roto; no lo descubras entero en un informe de incidente.
Cuando un agente tenga que ejecutar código o actuar sobre sistemas, haz que ese trabajo ocurra en una habitación de la que no pueda salir. Dale al agente que ejecuta un entorno que contenga solo lo que la tarea necesita, alcance solo adonde la tarea debe llegar y se deseche al terminar: por ejemplo, un contenedor o una micromáquina virtual de un solo uso. Esa es la contención que decide hasta dónde puede viajar una acción manipulada o equivocada: aun cuando no puedas romper la combinación de las tres propiedades en el diseño, aislar la ejecución reduce lo que un agente comprometido puede tocar a un espacio desechable, en lugar de a tu equipo, tu red y tus datos.
Emite las credenciales justo a tiempo; nunca las incrustes. Prefiere credenciales de vida corta, emitidas al agente para la tarea que tiene entre manos y que caducan con ella, frente a claves permanentes guardadas en la configuración del agente. Una clave permanente dentro de un agente se marcha con la primera manipulación exitosa de ese agente, y le sigue funcionando al atacante mucho después de que la manipulación haya terminado. Una credencial que caduca en minutos limita el robo a minutos.
Controles
Baseline3 controles
Control 89
Mantén las credenciales fuera del código, de los prompts y de los archivos de configuración.
BaselinePreventivointegrador o desarrollador (deployer+)por sistema
Qué es
Las claves y los tokens que permiten a un componente de IA acceder a otros sistemas se guardan en un almacén de secretos y se inyectan en tiempo de ejecución; nunca se escriben en instrucciones ni en repositorios.
Cómo implantarlo · Reglas mínimas
Todas las claves y tokens de los componentes de IA están en un almacén de secretos (gestor de secretos o ajustes de secretos de la plataforma)
Se inyectan en tiempo de ejecución por referencia; nunca se escriben en código, instrucciones permanentes, ficheros de configuración ni repositorios
Analiza repositorios, instrucciones y configuración en busca de secretos por patrón antes de cada publicación
Si aparece un secreto: revócalo y rótalo de inmediato, y elimínalo del historial
Acceso al almacén limitado a personas designadas y al componente que necesita cada secreto
Cómo arrancar
Analiza tus repositorios y configuraciones de IA en busca de claves, traslada cada una al almacén de secretos y rota todas las que estuvieron expuestas.
Evidencia
La relación de credenciales de IA guardadas en el almacén de secretos y el último informe de análisis sin hallazgos.
Modo: ligero / estándar / completo
ligero
Usa los ajustes de secretos integrados en la plataforma de alojamiento o en la consola del proveedor de IA, gestionados por una persona designada.
estándar
Un gestor de secretos compartido guarda todas las credenciales de IA, con análisis automático de secretos en el repositorio de código.
completo
Un servicio central emite todas las credenciales de IA, el análisis bloquea cualquier cambio con secretos y el acceso se audita.
Control 90
Limita cada IA al mínimo privilegio que requiere su tarea, concediendo por separado la lectura y la actuación.
BaselinePreventivotodos los rolespor sistema
Qué es
Se revisa siempre que cambia la tarea; las facultades no utilizadas se retiran, no se mantienen por comodidad.
Cómo implantarlo · Reglas mínimas
Para cada IA, anota su tarea y los datos y sistemas que esa tarea necesita; concede solo eso
Concede leer y actuar por separado (leer un calendario no es enviar correo); nunca los agrupes por defecto
Usa el ámbito más estrecho disponible: carpetas, buzones o tablas concretos, no unidades ni directorios completos
Desactiva conectores, complementos e integraciones que la tarea no usa
Revisa los permisos cada vez que cambia la tarea; elimina las facultades sin uso en lugar de conservarlas por comodidad
Cómo arrancar
Para cada sistema o herramienta de IA, enumera lo que hoy puede leer y hacer, compáralo con lo que su tarea necesita y elimina el resto.
Evidencia
La lista de permisos por IA con la fecha y el resultado de su última revisión.
Modo: ligero / estándar / completo
ligero
Quien administra la herramienta revisa sus ajustes de conectores y permisos y anota el resultado en una hoja de cálculo.
estándar
Los responsables de sistema mantienen los ámbitos de permisos por IA en el sistema de identidades y los revisan en cada cambio de tarea.
completo
La gestión de identidades y accesos asigna ámbitos por IA a partir de roles aprobados y señala automáticamente los permisos sin uso.
Control 91
Exige la aprobación humana en el momento para las acciones de alto impacto.
BaselinePreventivotodos los rolespor sistemaactúa por su cuenta
Qué es
Los envíos externos, los pagos, las eliminaciones y los cambios de acceso no se ejecutan sin una decisión humana, que queda registrada.
Cómo implantarlo · Reglas mínimas
Acciones que requieren aprobación: envíos fuera de la organización, pagos o transferencias, borrado de datos, cambios de acceso de cualquier persona
La persona aprueba la acción concreta, mostrada completa (destinatario, importe, contenido), en el momento en que ocurre
El agente no puede seguir sin esa aprobación; una instrucción pidiéndole prudencia no cuenta
Nada de aprobaciones genéricas o permanentes para estas acciones
Registra cada decisión: acción, aprobador, hora, aprobada o rechazada
Cómo arrancar
Enumera las acciones que puede realizar cada agente, marca las de las cuatro categorías de alto impacto y activa un paso de confirmación para cada una.
Evidencia
La lista de acciones sujetas a aprobación por agente y los registros de aprobación.
Modo: ligero / estándar / completo
ligero
Usa el ajuste de confirmar antes de actuar integrado en la herramienta del agente y conserva su registro de actividad.
estándar
Los pasos de aprobación están integrados en cada flujo de agente, con las decisiones registradas en el sistema de flujos o de incidencias.
completo
Un servicio central de aprobación controla las acciones de alto impacto de todos los agentes, con registros revisados por la función de seguridad.
Enhanced4 controles
Control 92
Asigna una identidad propia a cada agente y conector.
EnhancedPreventivotodos los rolespor sistema
Qué es
Sin cuentas compartidas ni credenciales personales heredadas; cada acción es atribuible al componente que la realizó.
Cómo implantarlo · Reglas mínimas
Cada agente y conector tiene su propia identidad de servicio, registrada con responsable, finalidad y sistema
Nada de cuentas personales ni de cuentas de servicio compartidas entre sistemas
Credenciales vinculadas únicamente a esa identidad
Los registros recogen cada acción bajo la identidad del componente que la realizó
La entrada del registro se cierra y la identidad se revoca cuando el componente se retira
Cómo arrancar
Enumera qué identidad usa hoy cada agente y conector y sustituye toda cuenta personal o compartida por una dedicada, empezando por la de más privilegios.
Evidencia
El registro de identidades de componentes de IA y los registros que muestran acciones atribuidas a ellos.
Modo: ligero / estándar / completo
ligero
Crea una cuenta dedicada por agente o conector en las herramientas que usas y anótalas en una hoja de cálculo con su responsable.
estándar
Las identidades de IA se crean en el sistema central de identidades siguiendo una regla de nombres, y el registro se revisa cada trimestre.
completo
Las identidades se aprovisionan automáticamente al desplegar a partir del inventario de IA, y la atribución se vigila en los registros de seguridad.
Control 93
Usa credenciales de corta duración emitidas por tarea en lugar de claves permanentes incrustadas.
EnhancedPreventivotodos los rolespor sistema
Qué es
Los secretos permanentes en la configuración de los agentes se tratan como hallazgos que hay que corregir.
Cómo implantarlo · Reglas mínimas
Credenciales emitidas por tarea o sesión y que caducan con ella (normalmente minutos, como mucho horas)
Emitidas bajo petición por el proveedor de identidades o el servicio de tokens, limitadas a la tarea
Ninguna clave permanente en la configuración del agente; cada una encontrada se registra como hallazgo con responsable y fecha de corrección
Si un proveedor solo ofrece claves permanentes: guárdalas en el almacén de secretos, rótalas con periodicidad fija y registra la excepción
Se registran la emisión y la caducidad de cada credencial
Cómo arrancar
Identifica los agentes que tienen claves permanentes y pasa primero el de más privilegios a tokens de corta duración emitidos por tarea.
Evidencia
La configuración de emisión de credenciales y la lista de claves permanentes pendientes con su estado de corrección.
Modo: ligero / estándar / completo
ligero
Usa la opción de tokens de corta duración que ofrezca la herramienta o el proveedor; si no existe, rota las claves con un recordatorio de calendario.
estándar
El sistema de identidades emite tokens de corta duración a los agentes, y las claves permanentes restantes se siguen hasta su cierre.
completo
Todas las credenciales de agentes salen bajo demanda de un servicio central de tokens; las claves permanentes están bloqueadas por política.
Control 94
Ejecuta el código generado por IA y las llamadas a herramientas de los agentes en un entorno aislado y efímero, limitado a la tarea.
EnhancedPreventivotodos los rolespor sistema
Qué es
Aislamiento fuerte respecto del anfitrión y de otras cargas de trabajo, alcance limitado a lo que requiere la tarea y eliminación al terminarla; cuando la ejecución es una función alojada, confirma que el proveedor aplica un mecanismo equivalente.
Cómo implantarlo · Reglas mínimas
Ejecuta el código generado por IA y las llamadas a herramientas de agentes en un contenedor o micromáquina virtual de un solo uso, aislado del anfitrión y de otras cargas
El entorno contiene solo los ficheros y herramientas que la tarea necesita; sin carpetas del anfitrión montadas ni credenciales guardadas
Red denegada por defecto; solo los destinos que la tarea requiere
Límites de CPU, memoria y tiempo de ejecución
Se destruye al terminar la tarea; nada persiste a la siguiente
Funciones de ejecución alojadas: obtén confirmación del proveedor de que se aplican un aislamiento y una eliminación equivalentes
Cómo arrancar
Enumera todos los lugares donde se ejecuta código generado por IA o llamadas a herramientas y traslada el primero a un entorno aislado desechable sin acceso a red.
Evidencia
La configuración de aislamiento y, en funciones alojadas, la confirmación escrita del proveedor.
Modo: ligero / estándar / completo
ligero
Usa solo la función de ejecución alojada del proveedor y archiva sus garantías documentadas de aislamiento.
estándar
Ingeniería ejecuta los agentes en una plantilla estándar de entorno aislado con límites de red y recursos.
completo
Un equipo de plataforma ofrece un servicio gestionado de ejecución aislada que todo agente debe usar, con vigilancia de intentos de escape.
Control 97
Registra cada delegación entre agentes y no permitas que ningún agente conceda a otro más autoridad de la que él mismo tiene.
EnhancedPreventivointegrador o desarrollador (deployer+)por sistemaactúa por su cuenta
Qué es
La cadena de delegación queda registrada y es atribuible; el privilegio no puede amplificarse pasando una tarea de un agente a otro.
Cómo implantarlo · Reglas mínimas
Registra cada delegación: agente que delega, agente que recibe, tarea, permisos transferidos, hora y petición de origen
Cada agente tiene un techo de autoridad documentado: herramientas, datos y acciones que puede usar
La autoridad delegada es un subconjunto de la del delegante; cualquier petición de más se rechaza y se registra
La cadena es rastreable hasta la persona o el evento que la inició
Las acciones de alto impacto mantienen su aprobación humana en cualquier punto de la cadena
Cómo arrancar
Traza qué agentes pueden pasar tareas a otros, redacta el techo de autoridad de cada uno y activa el registro de delegaciones.
Evidencia
Los registros de delegación y los techos de autoridad por agente.
Modo: ligero / estándar / completo
ligero
Limita la delegación a la función de traspaso integrada en la plataforma de agentes, conserva sus registros y anota los techos en una tabla breve.
estándar
Ingeniería configura los techos por agente en la capa de orquestación y revisa los registros de delegación cada mes.
completo
La plataforma de orquestación impone los techos en cada traspaso y las cadenas de delegación alimentan la vigilancia de seguridad, con alertas ante escaladas rechazadas.
Advanced2 controles
Control 95
Analiza cada flujo de trabajo de agentes en busca de la combinación de las tres propiedades, y rómpela.
AdvancedPreventivotodos los rolespor sistema
Qué es
Los datos sensibles, el contenido no fiable y la comunicación saliente nunca coexisten sin mitigación en un mismo agente; se documenta qué pata se ha eliminado.
Cómo implantarlo · Pasos
Para cada flujo de agente, anota si accede a datos sensibles, si lee contenido ajeno a tu control y si puede comunicarse hacia fuera
Si están las tres, elimina una, casi siempre la comunicación hacia fuera o la exposición a contenido no fiable
Si no se puede eliminar ninguna, documenta la mitigación: aprobación humana de cada envío, aislamiento, destinos fijos
Registra la propiedad eliminada, el razonamiento y el responsable de la decisión en la ficha del flujo
Repite cada vez que el flujo incorpore una herramienta, fuente de datos o canal de comunicación
Cómo arrancar
Toma el agente con mayor acceso a datos y completa esta semana el análisis de las tres preguntas.
Evidencia
Los análisis por flujo con la propiedad eliminada o la mitigación documentadas.
Modo: ligero / estándar / completo
ligero
El responsable de IA responde las tres preguntas por agente en una hoja de cálculo y desactiva la propiedad que haya que eliminar.
estándar
Los análisis forman parte de la revisión de diseño de cada flujo de agente, con visto bueno del responsable de seguridad.
completo
El análisis es obligatorio en el proceso de publicación de agentes y la plataforma impone por política la propiedad eliminada.
Control 96
Revoca automáticamente al desmantelar.
AdvancedPreventivotodos los rolespor sistema
Qué es
La retirada de un sistema (ciclo de vida de Gobernanza) desencadena la revocación de sus identidades, credenciales y conexiones sin tener que perseguirlas manualmente.
Cómo implantarlo · Reglas mínimas
Marcar un sistema como retirado en el registro de ciclo de vida lanza automáticamente el flujo de revocación
Revoca: identidades, credenciales, tokens, claves de API, autorizaciones de conectores y entradas en listas de red permitidas
Cada identidad y credencial de IA está vinculada a su sistema en el registro, para que no se escape nada
Un registro de revocación detalla los elementos revocados y la hora; los fallos avisan al responsable
Una comprobación periódica detecta identidades huérfanas sin sistema activo
Cómo arrancar
Vincula cada identidad y credencial de IA a su sistema en el inventario y conecta el estado de retirado con la baja de accesos del sistema de identidades.
Evidencia
Los registros de revocación vinculados a las retiradas y la última comprobación de identidades huérfanas.
Modo: ligero / estándar / completo
ligero
Una lista de retirada generada desde el inventario, que el responsable ejecuta el mismo día, con revisión mensual de identidades huérfanas.
estándar
La retirada abre una incidencia que ejecuta una revocación automatizada en el sistema de identidades, el almacén de secretos y las reglas de red.
completo
El registro de ciclo de vida gobierna la baja de accesos sin pasos manuales y las identidades huérfanas se notifican solas.
Evidencia
El almacén de secretos que guarda las credenciales de IA y el escaneo que demuestra que no hay ninguna en el código ni en las instrucciones; el registro de identidades de los componentes de IA; los ámbitos de permiso y sus revisiones; los registros de aprobación humana para las acciones de alto impacto; la configuración de emisión de credenciales; los análisis de las tres propiedades por flujo de trabajo; los registros de revocación asociados a las bajas. La configuración de aislamiento de los agentes que ejecutan código o actúan sobre sistemas. Los registros de delegación y los topes de autoridad de cada agente.