Los analistas confirmaron recientemente lo que preocupa silenciosamente a los equipos de seguridad de identidad. Eso significa que los agentes de IA se están implementando más rápido de lo que las empresas pueden gestionar. Gartner afirma en su primera Guía de mercado para agentes guardianes que «la adopción empresarial de agentes de IA está acelerando y superando la madurez de la gestión de políticas de gobernanza». Los líderes empresariales pueden solicitar acceso a la Guía de mercado de Gartner para agentes guardianes, disponible de forma gratuita en Orchid Security.
El desafío no es sólo una cuestión de herramientas. Se trata de una brecha estructural en la forma en que se gestionan las identidades en las últimas décadas. La gestión tradicional de identidad y acceso fue diseñada para permitir a los usuarios humanos iniciar y cerrar sesión en los sistemas. Los agentes de IA se comportan de manera diferente. Se ejecuta de forma continua, abarca múltiples aplicaciones, obtiene permisos de forma ágil y genera actividad a la velocidad de la máquina. El resultado es otra forma de lo que Orchid Security llama «materia oscura de identidad». Se trata de una capa invisible y no gestionada de actividad de identidad que opera bajo el radar de las plataformas IAM tradicionales.
Según el análisis de Orchid, aproximadamente la mitad de la actividad de identidad empresarial ya ocurre fuera de la visibilidad centralizada de IAM. ¿por qué? Esto se debe a que tantas identidades y controles residen en la propia aplicación como muchas identidades residen en un directorio central y los controles están disponibles en una herramienta central de IAM. Este es un desafío de gestión de identidades y accesos (IAM). ¿Cómo podemos gestionar lo que no podemos ver?
Sin embargo, buenas noticias. Una respuesta es: «Pregúntale a Orquídea». A continuación se muestran algunos ejemplos:
Tres preguntas que los equipos de identidad se hacen ahora
Ask Orchid es un agente de inteligencia artificial integrado en la plataforma de Orchid para hacer precisamente eso. Aplica la observabilidad de la identidad en el origen (interna a las capas de aplicación, binaria y de configuración) y responde preguntas en lenguaje natural sobre el activo de identidad completo. Aquí hay tres preguntas que los líderes de seguridad y cumplimiento se hacen en este momento.
Pregunta 1: «¿Qué agentes de IA se ejecutan en nuestro entorno?»
Esta es una pregunta que la mayoría de las empresas todavía no pueden responder y puede que sea la más importante. Los agentes de IA se desarrollan en unidades de negocio, se integran en plataformas SaaS, se integran mediante API y los equipos de desarrollo los crean internamente. Los procesos de gobernanza no han seguido el ritmo. Muchas organizaciones no tienen un inventario central de los agentes que se ejecutan en su entorno, y mucho menos visibilidad de lo que están haciendo, a qué datos acceden y qué identidades están utilizando.
«Ask Orchid aborda directamente este problema aplicando observabilidad de identidad en todas las aplicaciones, examinando cuentas de usuario, flujos de autenticación, privilegios de autorización y actividad de tiempo de ejecución en el origen para la pregunta: «¿Qué agentes de IA se están ejecutando en mi entorno?». La plataforma hace más que simplemente marcar agentes activos durante el período de monitoreo. Proporciona las siguientes características:
Descubrimiento automatizado de agentes de IA, incluido su propósito esperado y perfil de riesgo. Identificación del panorama completo de las áreas donde no se observa que se utilicen agentes de IA. Acciones recomendadas para ayudar a establecer una supervisión adecuada.
Para los líderes de gobernanza, riesgo y cumplimiento, esta capacidad representa la diferencia entre gestionar una implementación de IA y ser gestionado por IA.
Pregunta 2: «¿Hasta qué punto cumple actualmente con los requisitos de identidad del NIST?»
Para los CISO corporativos, el cumplimiento normativo es un doble imperativo de requisitos legales y líneas base de seguridad. Sin embargo, los activos de las aplicaciones están en constante evolución y conocer el estado real del cumplimiento del NIST, por ejemplo, siempre ha requerido una auditoría externa de terceros.
“Ask Orchid” cambia esa ecuación. Al preguntar directamente: «¿Qué tan bien cumple actualmente con los requisitos de identidad de NIST CSF?», valida cómo se implementan los controles de identidad dentro de cada aplicación en el nivel binario donde finalmente se definen. Luego comparamos lo que realmente está codificado con lo que requiere el NIST, cubriendo tanto el marco 1.1 establecido como la versión 2.0 actualizada. El resultado no es un cuadro de mando típico. Incluye:
Una visión clara de qué controles se implementan correctamente y dónde existen brechas. Detalles a nivel de aplicación, no solo a nivel de plataforma o resúmenes específicos de herramientas. Una hoja de ruta de remediación priorizada con próximos pasos prácticos.
Los CISO ahora pueden evaluar y abordar la postura de cumplimiento bajo demanda, antes de una auditoría, en lugar de esperar a que los auditores descubran vulnerabilidades después del hecho.
Pregunta 3: «¿Hay alguna credencial estática que deba rotarse inmediatamente?»
Las credenciales estáticas son uno de los problemas más antiguos y persistentes en la seguridad de la identidad. En todas las empresas se acumulan cuentas de servicio, acceso a API, tokens de máquina a máquina y credenciales «que rompen cristales», que a menudo se emiten por una buena razón y luego se olvidan. Si no se gestiona, se convierte en uno de los objetivos más valiosos para los atacantes y en uno de los puntos de apoyo más comunes para los agentes de IA que explotan la identidad de la materia oscura de forma diseñada.
Cuando se le pregunta: «¿Tiene credenciales estáticas que deben rotarse ahora?», Ask Orchid examina las credenciales en todas las aplicaciones, incluidas aquellas conectadas a proveedores de identidad centrales, así como las credenciales en la nube, en las instalaciones y en cuentas locales. La respuesta incluye:
Un inventario completo de credenciales estáticas en todo su entorno Dónde existen y por qué deben rotarse Priorización por niveles de riesgo, identificando las credenciales en riesgo más inmediato
Ofrezca inteligencia de autenticación que antes era invisible en minutos.
Problema más profundo: la identidad de la materia oscura se está acelerando
Los tres escenarios anteriores no son casos especiales. Estos representan los principales desafíos que enfrentan los equipos de seguridad empresarial en la actualidad. Los activos de identidad han crecido mucho más allá de lo que las plataformas IAM tradicionales fueron diseñadas para reconocer. La aplicación autentica a los usuarios localmente. Las cuentas de servicio se aprovisionan y se olvidan. Los agentes de IA recibirán nuevas identidades con privilegios más amplios. La suma de esta actividad no gestionada (y más), la materia oscura de la identidad, está creciendo a un ritmo que iguala, y a menudo supera, la tasa de adopción de la IA en sí.
Lo que hace que esto sea particularmente difícil es la naturaleza estructural de la brecha. Esto es más que simplemente agregar un conector a su plataforma IAM existente. El problema es que la mayoría de las herramientas de identidad se detienen en el evento de inicio de sesión. No monitorea lo que sucede dentro de la aplicación después de la autenticación.
Cómo Orchid Security cierra la brecha
Orchid Security fue creado exactamente para este entorno. Funciona en la fuente de actividad de identidad dentro de su aplicación, en lugar de en los límites de un sistema IAM centralizado. A través del análisis binario y la instrumentación dinámica, Orchid inspecciona la lógica de autenticación y autorización nativa directamente dentro de las aplicaciones sin requerir API, cambios de código fuente o integraciones prolongadas. Esto le brinda visibilidad de la mitad de las actividades de identidad de su empresa que están fuera de la visibilidad de IAM tradicional, incluidos todos los agentes de IA que operan en sus activos.
Reconocido como proveedor representativo en la primera Guía de mercado para agentes guardianes de Gartner, Orchid se describe como un proveedor que «administra la identidad/el acceso de los agentes de IA con políticas y gobernanza de confianza cero», ofreciendo los llamados privilegios de identidad de espectro completo en todas las identidades humanas y no humanas, desde la observabilidad hasta la orquestación.
Específicamente para los agentes de IA, el enfoque se basa en cinco principios que rigen el despliegue de agentes de IA seguros.
Atribución de persona a agente: todas las acciones de los agentes de IA están asociadas con un propietario humano responsable, lo que garantiza la responsabilidad por las actividades impulsadas por máquinas. Auditoría integral de la actividad: se registra la cadena de gestión completa (Agente → Herramienta/API → Acción → Objetivo). Permite generar informes de cumplimiento y respuesta a incidentes. Barreras de seguridad dinámicas y sensibles al contexto: las decisiones de acceso se evalúan continuamente en función del contexto en tiempo real, la sensibilidad del recurso de destino y los privilegios del propietario humano, reemplazando privilegios amplios con autorizaciones para propósitos específicos. Mínimo privilegio: la elevación justo a tiempo reemplaza el acceso persistente en «modo dios» entre agentes de IA e identidades de máquinas. Corrección automática: cuando se produce un comportamiento inseguro, se activan respuestas automáticas, como la rotación de credenciales y la finalización de la sesión, sin necesidad de intervención manual.
Para obtener más información, consulte la plataforma de barreras de identidad autónomas de Orchid.
pensamientos finales
Para los equipos de seguridad que preguntan si hay agentes de IA no administrados en el entorno, credenciales no rotadas en aplicaciones olvidadas o brechas de cumplimiento omitidas en la última auditoría, Orchid proporciona respuestas y rutas de solución sin esperar a que una infracción las haga visibles.
Los líderes empresariales responsables de la ciberseguridad, la gestión de identidades y accesos y la gobernanza de agentes de IA pueden solicitar acceso a la Guía de mercado de Gartner para agentes guardianes, que complementa a Orchid Security.
Gartner no respalda a ningún proveedor, producto o servicio descrito en sus publicaciones. Las publicaciones de Gartner reflejan las opiniones de la organización de investigación de Gartner y no deben interpretarse como declaraciones de hechos.
Source link
