IAM para agentes de IA con Ping Identity
- fernandagutierrez94
- hace 1 día
- 7 min de lectura
¿Qué tan seguro está de que los agentes de IA que ha desplegado no generaron una brecha de seguridad en su organización?
La automatización mediante Modelos de Lenguaje (LLM) y protocolos como MCP (Model Context Protocol) alteran el vector de acceso corporativo debido a que estos software ya no ejecutan únicamente consultas predecibles, sino que toman decisiones no deterministas a velocidad de máquina.
Por ejemplo, cuando un agente ejecuta transferencias de fondos, modifica registros en el ERP o accede a datos PII de clientes, los esquemas de identidad tradicionales dejan de ser suficientes. Las credenciales de larga duración no distinguen si una llamada a una API la ordenó un usuario legítimo o un bucle anómalo del modelo.
El desfío para el CIO y el CISO es implementar un plano de control que impida la suplantación de identidad y delimite el radio de explosión operativa.
¿Por qué los agentes de IA deben ser gobernadas bajo otra perspectiva?
Tratar a las identidades no humanas agénticas como cuentas de servicio estáticas provoca brechas a causa de escaladas de privilegios y pérdida total de trazabilidad forense en la infraestructura corporativa.
Históricamente, los sistemas de gestión de identidades y accesos (IAM) se diseñaron para dos poblaciones estáticas: humanos que inician sesión mediante un navegador o identidades no humanas (NHI) asociadas a tareas batch e integraciones punto a punto (Máquina-a-Máquina). A diferencia de las cuentas de máquina, los agentes autónomos actúan en representación de usuarios (on-behalf-of) o como trabajadores digitales con iniciativa propia.
Según el reporte de Ping Identity 2025 Consumer Survey (basado en una muestra global de 10.500 consumidores), la desconfianza pública ante el manejo de datos por sistemas automatizados se ha intensificado, con un 52% de usuarios alertando sobre el riesgo de fraude evasión de privacidad vinculados a la IA.
Otorgar a un agente las mismas credenciales maestras del usuario humano genera un vacío de no repudio: en los registros de auditoría, las acciones del agente aparecen indistinguibles de las del operador.
Los cuatro pilares de Identity for AI desde la visión de Ping Identity.
Para contener este vector de riesgo, la plataforma Ping Identity estructura su marco Identity for AI sobre cuatro principios arquitectónicos alineados con NIST SP 800-207:
Identidad No Humana única: Cada agente posee un identificador criptográfico independiente en el directorio corporativo, desvinculado de credenciales estáticas compartidas.
Delegación Estricta sin suplantación: El agente no utiliza la contraseña ni el token del usuario; opera mediante tokens derivados que reflejan la cadena de delegación.
Autorización Just-in-Time (JIT) en Tiempo de Ejecución: Los permisos no son permanentes. Se evalúan y emiten por llamada (per-action) según el contexto de la transacción.
Supervisión Humana Obligatoria (Human-in-the-Loop): Las operaciones de alto impacto quedan bloqueadas hasta recibir confirmación explícita fuera de banda.
Capacidades técnicas de la plataforma Ping Identity para agentes autónomos
La plataforma Ping Identity traslada el control de identidad al momento de ejecución, integrando pasarelas de control, registro criptográfico y autorización granular por llamada de API para aislar el radio de explosión de cualquier agente.
La propuesta técnica de Ping Identity no se limita al repositorio de identidades; establece un sistema de control en tiempo de ejecución. Este esquema opera a través de módulos especializados diseñados para gobernar el ciclo de vida del agente.
Registro dinámico y gestión de ciclo de vida (DCR y mTLS)
A través de Agent IAM Core, los agentes se registran como clientes OAuth 2.0 especializados mediante el estándar RFC 7591 (Dynamic Client Registration - DCR). Esto elimina la quema de secretos en archivos de configuración o variables de entorno.
La autenticación de la máquina utiliza Mutual-TLS (mTLS bajo RFC 8705) con certificados X.509 de corta duración enlazados a módulos de seguridad por hardware (HSM) o identidades de carga de trabajo. Cuando un agente deja de operar, el desaprovisionamiento en el plano central revoca de inmediato su capacidad de solicitar nuevos tokens.
Autorización contextual para Agentes de IA en tiempo de ejecución.
Para arquitecturas multiagente donde un planificador delega tareas en subagentes especializados, Ping Identity implementa RFC 8693 (OAuth 2.0 Token Exchange).
En lugar de propagar un único token omnipotente, el componente Agent Gateway intercepta cada salto entre agentes.
El servidor de autorización emite un JSON Web Token (JWT) con el claim estructurado act (actor). Si el Agente B invoca un recurso a petición del Agente A en nombre del Usuario C, el payload del token refleja la cadena completa.
Este encadenamiento permite al motor de políticas (PingOne Authorize) aplicar control de acceso basado en atributos (ABAC), restringiendo permisos según la reputación del agente, la sensibilidad del dato y el canal de origen.
Control de acciones críticas mediante CIBA y flujos Human-in-the-Loop (HITL)
Cuando un agente intenta ejecutar una acción que supera el umbral de riesgo definido en la política (por ejemplo, autorizar un pago superior a $5.000 USD o modificar privilegios de base de datos), el flujo automatizado se suspende.
Ping Identity aborda este escenario a través de OpenID Client-Initiated Backchannel Authentication (CIBA). Veamos los pasos:
El agente solicita la elevación de privilegios al servidor de autorización sin interacción directa en el navegador.
Ping Identity despacha una notificación push con autenticación FIDO2/WebAuthn al dispositivo móvil del usuario responsable.
El token con alcance transaccional solo se libera al agente tras la aprobación biométrica humana, registrando la evidencia criptográfica en el log de auditoría.
Cuentas de Servicio Legacy vs. Agentic IAM en Ping Identity
Métrica | Enfoque Tradicional (Service Accounts / API Keys) | Agentic IAM (Plataforma Ping Identity) | Impacto Operativo | Benchmark de Industria (NIST / Forrester) |
Gestión de Secretos | API Keys estáticas almacenadas en bóvedas o código. | Tokens efímeros derivados con mTLS y rotación automática. | Elimina la exposición de secretos en repositorios y logs. | Mitiga el 90% de incidentes por credenciales filtradas (NIST SP 800-63B). |
Trazabilidad Forense | Registro plano: la acción figura bajo el ID de servicio. | Trazabilidad encadenada con claim act (RFC 8693). | Auditoría exacta del humano patrocinador y cada agente intermedio. | Cumplimiento estricto de requisitos de no repudio en SOC 2 e ISO 27001. |
Modelo de Autorización | RBAC estático asignado a nivel de cuenta. | ABAC continuo en runtime evaluado por transacción. | Contención granular del radio de explosión ante alucinaciones o secuestros. | Principio de Menor Privilegio Dinámico (NIST SP 800-207 Zero Trust). |
Aprobación de Alto Riesgo | Procesos manuales asíncronos o nula supervisión. | Interrupción síncrona mediante OpenID CIBA (Human-in-the-Loop). | Detención en tiempo real de transacciones anómalas sin frenar flujos seguros. | Control preventivo frente a fallos operacionales de agentes autónomos. |
Aplicación en CIAM y Workforce: Del comercio agéntico al trabajador digital autónomo
El gobierno de agentes de IA en CIAM y Workforce previene el fraude identidades no gestionadas (BYOA) y contiene a los trabajadores digitales internos mediante límites de delegación estrictos y autenticación escalonada contextual.
Las demandas de seguridad varían sustancialmente cuando el agente proviene del consumidor o cuando opera como un colaborador interno de la organización.
CIAM y BYOA para una delegación acotada con consentimiento explícito del cliente
En entornos de clientes (CIAM), surge el modelo Bring Your Own Agent (BYOA): consumidor es que utilizan asistentes personales externos (como ChatGPT o agentes locales) para cotizar pólizas, gestionar suscripciones o realizar compras.
Mediante PingOne Protect, la plataforma analiza el comportamiento de la sesión y detecta la firma de agentes no gestionados. En lugar de bloquear la conexión con un CAPTCHA genérico, Ping Identity redirige el tráfico hacia un flujo de delegación regulado:
El agente personal se registra dinámicamente mediante DCR.
El cliente humano valida su identidad mediante credenciales verificables o biometría de conocimiento cero (Zero-Knowledge Biometrics).
Ping Identity emite al agente personal un token con permisos de lectura acotados, impidiendo que el bot acceda a configuraciones de pago o cambie datos de contacto sin una reautenticación explícita.
Workforce y agentes CUA (Computer-Using Agents): Detección y contención perimetral
En el entorno corporativo (Workforce), los trabajadores digitales autónomos interactúan directamente con interfaces de usuario y llamadas a APIs internas. PingOne Protect monitoriza las señales contextuales y anomalías de comportamiento para identificar si un proceso automatizado está operando dentro de los parámetros autorizados o si ha sido víctima de una inyección de prompts.
Si el agente intenta exfiltrar información o saltar de un sistema CRM al directorio corporativo, las reglas de orquestación de Ping Identity revocan los tokens de sesión de manera instantánea, aislando el proceso sin afectar la operativa de los usuarios humanos.
Gobernanza de Agentes de IA adaptativa según el impacto de negocio
Gobernar identidades agénticas consiste en calibrar la autonomía del modelo frente a la exposición al riesgo en cada caso de uso específico.
El error recurrente al abordar la seguridad en IA es aplicar un control binario: o se restringe el acceso de los agentes hasta volverlos inútiles, o se liberan credenciales estáticas para no retrasar el time-to-market. Ninguno de estos extremos es sostenible para la alta dirección. La madurez en la gestión de identidades no humanas exige clasificar los agentes no por su tecnología subyacente, sino por su capacidad transaccional:
Cargas de trabajo analíticas y de consulta (Nivel 1): Agentes destinados a la agregación de métricas, análisis de documentos internos o soporte de primer nivel. Aquí, la prioridad es la asignación de tokens efímeros con permisos mínimos de lectura, asegurando que el desaprovisionamiento en el directorio revoque el acceso de forma inmediata.
Arquitecturas multiagente y delegación de tareas (Nivel 2): Sistemas donde un planificador delega acciones en subagentes especializados. En este escenario, la prioridad técnica se traslada a la federación y trazabilidad: la implementación de RFC 8693 mediante el claim act es indispensable para que los equipos de ciberseguridad y auditoría interna conserven la visibilidad completa de la cadena de llamadas sin penalizar el rendimiento del procesamiento.
Trabajadores digitales autónomos y acciones de alto impacto (Nivel 3): Procesos que interactúan con APIs de pagos, infraestructuras críticas o bases de datos con información sensible (PII). En este estrato, la delegación autónoma debe subordinarse a mecanismos síncronos fuera de banda vía OpenID CIBA, donde la confirmación humana mediante biometría resistente a phishing actúa como la compuerta de validación final.
En Nubuss comprendemos que integrar una plataforma como Ping Identity permite a las organizaciones establecer este plano de control gradual.
No se trata de imponer barreras burocráticas a la innovación, sino de dotar a los equipos de ingeniería y seguridad de una arquitectura común que garantice el no repudio, aísle el radio de explosión ante comportamientos anómalos del modelo y preserve la integridad operativa del negocio.
Comentarios