Según SailPoint, el 82 % de las organizaciones ya utilizan agentes de IA , pero solo el 44 % afirma contar con políticas para protegerlos. Si bien el 53 % está desarrollando dichas políticas, la realidad es que la mayoría sigue expuesta a la amenaza.
Los agentes de IA plantean riesgos de seguridad para las organizaciones
El 96% de los profesionales de la tecnología considera que los agentes de IA son un riesgo creciente , aunque el 98% de las organizaciones planean ampliar su uso durante el próximo año.
Los términos «agente de IA» o » IA agéntica » abarcan ampliamente los sistemas autónomos que perciben, toman decisiones y actúan para alcanzar objetivos específicos en un entorno. Estos agentes suelen requerir varias identidades de máquina diferentes para acceder a los datos, aplicaciones y servicios necesarios, e introducen complejidades adicionales como la automodificación y la posibilidad de generar subagentes.
El 72% de los profesionales de la tecnología ahora creen que los agentes de IA representan un riesgo mayor para el negocio que las identidades de las máquinas tradicionales.
Los factores que contribuyen a que los agentes de IA representen un riesgo para la seguridad incluyen:
- Capacidad de los agentes de IA para acceder a datos privilegiados (60%)
- Su potencial para realizar acciones no deseadas (58%)
- Compartir datos privilegiados (57%)
- Toma de decisiones basadas en datos inexactos o no verificados (55%)
- Acceder y compartir información inapropiada (54%)
“La IA Agentic es a la vez una poderosa fuerza de innovación y un riesgo potencial”, afirmó Chandra Gnanasambandam , vicepresidente ejecutivo de Producto y director de Tecnología de SailPoint. “Estos agentes autónomos están transformando la forma de trabajar, pero también introducen una nueva superficie de ataque. Suelen operar con amplio acceso a sistemas y datos confidenciales, pero con una supervisión limitada. Esta combinación de altos privilegios y baja visibilidad crea un objetivo prioritario para los atacantes. A medida que las organizaciones amplían el uso de agentes de IA, deben adoptar un enfoque que priorice la identidad para garantizar que estos agentes se gestionen con la misma rigurosidad que los usuarios humanos, con permisos en tiempo real, mínimos privilegios y visibilidad completa de sus acciones”.
Gobernando agentes de IA
Hoy en día, los agentes de IA tienen acceso a información de clientes, datos financieros, propiedad intelectual, documentos legales, transacciones de la cadena de suministro y otros datos altamente sensibles. Sin embargo, los encuestados manifestaron profunda preocupación por la capacidad de controlar los datos a los que acceden y comparten los agentes de IA, y un 92 % afirmó que la gestión de los agentes de IA es fundamental para la seguridad empresarial.
El 23 % informó que sus agentes de IA fueron engañados para revelar sus credenciales de acceso. Además, el 80 % de las empresas afirma que sus agentes de IA han realizado acciones imprevistas.
Encabezando la lista de acciones no deseadas, el 39% de los encuestados informó que agentes de IA accedieron a sistemas no autorizados, mientras que el 33% afirmó que accedieron a datos inapropiados o sensibles. Si bien estos comportamientos pueden reflejar intentos de realizar una tarea, el siguiente conjunto de acciones es más preocupante: el 32% indicó que agentes de IA permitieron la descarga de datos sensibles, y el 31% afirmó que los datos se compartieron de forma inapropiada.
TI se destaca en el conocimiento del acceso a datos del agente de IA
TI (71 %) es el equipo más informado sobre el acceso a los datos del agente de IA, dado su rol en la implementación de la tecnología, la gestión de configuraciones y el aprovisionamiento de credenciales.
Sin embargo, la conciencia cae significativamente entre otras partes interesadas críticas: cumplimiento (47%), legal (39%), ejecutivos (34%) y otros departamentos, a pesar de su papel en la identificación de datos confidenciales, la protección de la organización y la minimización del riesgo.
Esta falta de visibilidad en el acceso a los datos ha provocado que solo el 52% de las empresas informen que pueden rastrear y auditar todos los datos utilizados o compartidos por agentes de IA.
A pesar de necesitar múltiples permisos para realizar sus funciones, los agentes de IA suelen recibir acceso rápido únicamente a través de los departamentos de TI. Por diseño, estos agentes explorarán todos los recursos accesibles para atender las solicitudes, lo que genera vulnerabilidades de seguridad inherentes.
Para abordar estos riesgos, las organizaciones deben implementar soluciones de seguridad de identidad especializadas con controles específicos del agente de IA que puedan restringir el acceso a datos confidenciales, mantener registros de auditoría completos y brindar transparencia a todas las partes interesadas.
Fuente y redacción: helpnetsecurity.com
