Los agentes de IA deben heredar los permisos del usuario, no tener credenciales propias
Cada nueva integración plantea la misma pregunta de seguridad: ¿a qué puede acceder que una persona no podría? Para los agentes de IA, la respuesta depende de una decisión de diseño. O el agente tiene credenciales propias, o actúa con los permisos de la persona que lo solicita.
Esa elección determina el tamaño de la superficie de acceso. Una cuenta de servicio compartida con un alcance amplio crea una identidad privilegiada que nadie revisa como se haría con una persona, y puede acceder a datos que ningún usuario individual debería ver. La herencia de permisos evita ese problema desde el inicio.
En este artículo te explicamos por qué las credenciales permanentes de agentes son un riesgo, cómo funciona la herencia de permisos en la práctica y qué preguntas debes hacer a cualquier plataforma de agentes durante una revisión de seguridad.
Resumen Ejecutivo
Los agentes de IA deben actuar como el usuario que solicita la acción. Cuando un agente hereda los roles y permisos de una persona, no puede ver ni hacer más de lo que esa persona puede, la política se evalúa en cada solicitud y la trazabilidad auditable atribuye cada acción a un individuo identificado. Los agentes con credenciales propias y amplias hacen lo contrario: amplían la superficie de acceso y rompen el vínculo entre la acción y un usuario responsable. Para CISOs y arquitectos de seguridad, la herencia convierte la revisión del agente en una cuestión sobre el modelo de acceso de la plataforma, no sobre el código de cada agente.
Puntos Clave
- Las credenciales permanentes de agentes crean una nueva identidad privilegiada. Una cuenta de servicio con alcance amplio puede acceder a datos que ningún usuario individual debería consultar.
- La herencia mantiene la superficie de acceso igual. Un agente que actúa con los roles y permisos del usuario no puede acceder a recursos fuera de esa autorización.
- La política debe evaluarse en cada solicitud. Las decisiones basadas en atributos que consideran clasificación, atributos del usuario y contexto mantienen el control en la plataforma, no en el agente.
- El alcance declarado de herramientas convierte la revisión de seguridad en revisión documental. Cuando un agente declara lo que puede hacer antes de instalarse, los revisores evalúan una especificación en vez de auditar código.
- Los administradores necesitan un control centralizado. Las herramientas destructivas permanecen deshabilitadas hasta que se habilitan de forma explícita, y la lista de herramientas expuestas puede restringirse, lo que mantiene el comportamiento del agente dentro de lo aprobado por la organización.
Por Qué las Credenciales Permanentes de Agentes Generan Riesgo
Los atajos de integración suelen seguir el mismo patrón. Alguien crea una cuenta de servicio, le otorga suficiente alcance para que el proyecto funcione y sigue adelante. Esa cuenta puede vivir años, acumulando accesos que nadie revisa en función del rol de una persona.
Una Identidad Privilegiada Sin Revisión
Los usuarios cambian de rol, se van y pierden acceso. Una cuenta de servicio no hace nada de eso por sí sola. Si un agente la utiliza, su alcance refleja el día en que se configuró, no las necesidades actuales de la persona que lo solicita.
Acciones Sin un Usuario Responsable
Cuando el agente actúa por sí mismo, el registro muestra al agente. No muestra qué persona originó la acción ni si esa persona tenía derecho a esos datos. Para un investigador o auditor, eso es una brecha en la cadena de responsabilidad.
Cómo Funciona la Herencia de Permisos para Agentes de IA
Con la herencia, una operación de IA utiliza los roles y permisos del usuario autenticado. La plataforma evalúa en tiempo real la política basada en atributos para cada solicitud, usando la clasificación de archivos, etiquetas de sensibilidad, atributos del usuario y contexto. Si el usuario no podría abrir el archivo directamente, el agente tampoco puede hacerlo.
Alcance Declarado de Herramientas
Cada agente declara de antemano qué herramientas utiliza. Los revisores comparan esa declaración con sus requisitos antes de la instalación. Además, las llamadas a herramientas se verifican contra los alcances concedidos al cliente, así que un agente solo puede usar las herramientas para las que fue aprobado.
Control Centralizado para Administradores
Las herramientas destructivas como mover y eliminar están deshabilitadas por defecto y deben habilitarse de forma explícita. Los administradores también pueden restringir qué herramientas específicas están registradas para los agentes, y hay pasos de confirmación antes de acciones de escritura. Estos controles permiten que el equipo de seguridad decida qué pueden hacer los agentes antes de que alguien instale uno.
Preguntas para Hacer a Cualquier Plataforma de Agentes
Pregunta con qué permisos opera un agente y si tiene credenciales propias. Pregunta dónde se evalúa la política y si los tokens de seguridad o los datos de archivos llegan al contexto del modelo sin una acción del usuario. Pregunta cómo aparece cada llamada en el registro de auditoría y si llega a tu SIEM. Una plataforma que responde con precisión facilita la revisión. Si responde describiendo solo el buen comportamiento del asistente, no ha respondido realmente.
Por Qué Importa el Punto de Aplicación
Un asistente puede ser manipulado por un documento malicioso o un prompt. Los controles que dependen del buen comportamiento del asistente fallan en ese momento. Los controles aplicados en el conector, como mantener los tokens fuera del contexto y evitar que los datos de archivos transferidos entren en él salvo que el usuario lea el archivo a propósito, siguen funcionando.
Aplicando la Herencia en la Data Control Plane de Kiteworks
Las herramientas de postura describen dónde vive el contenido confidencial y el IAM decide quién puede iniciar sesión. Ninguna de las dos controla lo que hace un agente cuando actúa en nombre de un usuario. La Data Control Plane de Kiteworks aplica identidad, permisos y políticas sensibles al dato en ese momento, y su registro de auditoría es inalterable y puede alimentar tus herramientas SIEM. El Kiteworks Agent Marketplace es una manera de ver este modelo en acción, con agentes que operan como el usuario solicitante dentro de Kiteworks.
Funciona junto a tu IAM, DSPM y herramientas DLP, que mantienen sus funciones. Si quieres revisar el modelo de acceso con tus arquitectos de seguridad, agenda una demo personalizada y revisaremos los controles paso a paso.
Preguntas Frecuentes
Las credenciales permanentes de agentes crean una nueva identidad privilegiada con un alcance amplio que nadie revisa como el rol de una persona. Esto amplía la superficie de acceso, permite llegar a datos que ningún usuario individual debería ver y rompe el vínculo entre las acciones y un usuario responsable en los registros auditables.
Con la herencia de permisos, un agente de IA utiliza los roles y permisos del usuario autenticado. La plataforma evalúa en tiempo real la política basada en atributos para cada solicitud usando clasificación, etiquetas de sensibilidad, atributos del usuario y contexto, asegurando que el agente no pueda acceder a recursos a los que el usuario no podría llegar directamente.
El alcance declarado de herramientas exige que cada agente indique de antemano qué herramientas utiliza antes de instalarse. Así, los revisores pueden evaluar la especificación en vez de auditar el código, y las llamadas a herramientas se verifican contra los alcances concedidos para mantener el comportamiento del agente dentro de los límites aprobados.
Los equipos deben preguntar con qué permisos opera un agente, si tiene credenciales propias, dónde se evalúa la política, si los tokens o datos de archivos entran en el contexto del modelo sin acción del usuario y cómo aparece cada llamada en el registro de auditoría para la integración con SIEM.