Quién controla al agente: la nueva crisis de la confianza digital
Durante décadas, la confianza digital se ha basado en una premisa sencilla: detrás de cada inicio de sesión o decisión hay una persona. Las contraseñas y la autenticación multifactor confirmaban que quien solicitaba acceso disponía realmente de las credenciales necesarias. Pero la inteligencia artificial está cambiando la propia pregunta. Ya no basta con averiguar si algo puede entrar y quién es. Hay que entender quién le ha autorizado a actuar, qué se le permite hacer exactamente y durante cuánto tiempo se mantiene esa autorización.
Aquí es importante distinguir tres comprobaciones. La autenticación responde a la pregunta de si se tiene acceso. La identificación establece quién tenemos delante. La autorización determina quién ha permitido la acción, qué operaciones están permitidas, con qué limitaciones y durante cuánto tiempo. La mayor parte de la infraestructura actual resuelve bien las dos primeras tareas. Los agentes de IA obligan a tomarse en serio la tercera.
Los agentes de IA ya realizan pagos, tramitan operaciones y resuelven tareas administrativas que antes requerían la intervención de un empleado. Sin embargo, muchos sistemas de seguridad no saben distinguir de forma fiable a una persona de un agente de software, ni a un agente legítimo de otro que actúa por su cuenta. Comprueban que se disponga de las credenciales correctas, pero no averiguan si quien las posee tenía derecho a realizar una operación concreta.
En los últimos años, el Reino Unido ha desarrollado una infraestructura de identidad digital. La ley Data (Use and Access) Act estableció el estatus jurídico de los servicios de verificación de identidad digital, Digital Verification Services o DVS. En determinados supuestos, se introduce la obligación de verificar la identidad de los administradores y de las personas que ejercen un control significativo sobre las empresas. Es un paso útil, pero responde sobre todo a la pregunta «quién es esta persona», no a «quién está actuando ahora y con qué autorización».
En una empresa convencional, la verificación de identidad siempre se complementa con una comprobación de facultades. Por ejemplo, se puede haber identificado oficialmente a un empleado como una persona concreta, pero la organización aún debe saber si está autorizado en ese momento a aprobar un pago. En los sectores financiero y sanitario, estas comprobaciones llevan mucho tiempo sumándose a la identificación: la identidad por sí sola no indica qué tiene permitido hacer su titular.
Con los agentes de IA, esta distinción pasa a ser necesaria en todas partes. Identificar qué agente ha enviado una solicitud no basta: eso no demuestra quién le encargó la acción ni si esta se ajusta a la autorización concedida originalmente. Si una empresa simplemente copia al agente los permisos de una persona, un proceso pirateado o mal configurado podrá causar mucho más daño que un agente con facultades limitadas.
Por eso, los permisos deben concederse siguiendo el principio de privilegio mínimo. Hay que otorgar al agente un mandato concreto y limitado para una tarea determinada, no acceso permanente a todo aquello a lo que puede acceder un empleado. La empresa debe comprobar de antemano las facultades, dejar constancia de quién las concedió, establecer límites y un periodo de vigencia, y permitir revocarlas.
Para cada acción del agente, la empresa debe poder responder a cinco preguntas: quién o qué está actuando; quién lo ha autorizado; qué se le permite hacer exactamente; qué límites se han establecido; y si la autorización sigue vigente. Este enfoque se acerca a los modelos de delegación «en nombre de otro» —on-behalf-of u OBO— que ya se aplican en los estándares de identidad digital. Así que no hace falta inventar un sistema desde cero.
Sin estas respuestas, un agente mal configurado podría aprobar sin que nadie se diera cuenta un pago para el que nunca debió tener autorización. Esperar a que el regulador redacte primero el estándar perfecto no hace más que prolongar el periodo de vulnerabilidad.
También sería más sensato que el Gobierno británico ampliara la infraestructura ya creada en lugar de empezar de cero. El DVS Trust Framework ya reconoce las facultades delegadas cuando una persona actúa en nombre de otra persona o de una organización. Ahora hay que definir cómo se aplicará el mismo principio cuando el delegado sea un programa.
El resultado práctico debe ser comprensible para una máquina: el agente presenta un mandato verificable que indica quién lo ha concedido, qué se permite hacer, en qué condiciones, durante cuánto tiempo y si la autorización sigue vigente. Una posible ubicación para ese mandato serían los monederos digitales, junto con los datos verificados de la persona o la organización, para que la autorización pueda comprobarse y revocarse.
No es la única opción, pero muestra qué tipo de infraestructura hace falta. Al Reino Unido le queda poco tiempo para establecer las reglas antes de que la implantación de los agentes de IA vaya por delante de los sistemas destinados a controlarlos.
A largo plazo, la confianza digital no dependerá de que algo haya conseguido superar una pantalla de inicio de sesión. Lo fundamental será demostrar quién o qué está actuando realmente, en nombre de quién y durante cuánto tiempo tiene derecho a hacerlo.
PEREC.RU
Las empresas tienen un nuevo personaje: un programa que actúa en nombre de alguien, pero que no se sonroja cuando pulsa un botón. Las viejas tarjetas de acceso y contraseñas siguen abriendo puertas, y de pronto resulta incómoda la pregunta de quién autorizó al agente a pasar de ahí. La tecnología ha acelerado la ejecución de los encargos; la responsabilidad sigue yendo a pie.
Esta preocupación tiene un lado perfectamente razonable: las facultades deben ser limitadas, claras y revocables. Pero alrededor de cada nueva amenaza no tarda en crecer un mercado de quienes venden el vocabulario, la arquitectura y la consultoría para domarla. Cuando un artículo insiste en que los sistemas existentes no están preparados, conviene preguntar quién está listo para ofrecer la siguiente capa de control y pasar la factura.
Exigir que se explique quién autorizó una acción y por cuánto tiempo parece un mínimo sensato. También crea un magnífico conjunto de casillas para un nuevo formulario, estándar o monedero digital. Primero se le da acceso al agente; después el mercado descubre que hace falta otro mercado para que ese acceso sea seguro.
Es especialmente cómodo responsabilizar de los daños potenciales a un programa mal configurado: no asiste a reuniones, no lee contratos y no protesta si le toca cargar con el muerto. La persona que le concedió facultades demasiado amplias puede quedar fuera de plano, junto con la empresa que se apresuró a automatizar el proceso. Hablar del mandato es importante, pero no debe convertirse en una manera de eximir de responsabilidad a quienes lo redactaron.
El consejo de no esperar a que exista un estándar regulatorio perfecto suena enérgico, casi como una invitación a abrir de inmediato un proyecto interno con presupuesto propio. Tiene lógica: la protección que se monta después de un incidente suele parecerse a un candado instalado alrededor de los muebles que ya se han llevado. Pero un sistema de confianza improvisado tampoco es magia, sobre todo si lo evalúan las mismas personas a las que más les conviene ampliar el acceso para ganar velocidad.
Se quiere que la confianza digital pueda verificarse automáticamente y, por tanto, añadir otra capa de credenciales entre la intención y la acción. Puede servir, si la empresa de verdad limita las facultades, deja constancia de quién responde y revoca las autorizaciones. Pero si al agente simplemente le expiden un poder muy pulcro para todo, tendremos burocracia con un registro perfecto de quién autorizó exactamente la catástrofe.
La redacción valora que se plantee la cuestión de los límites de las facultades: es más útil que otro conjuro sobre la «inteligencia artificial». Pero la prueba decisiva no consiste en que el sistema sepa presentar un mandato, sino en que alguien esté dispuesto a decirle «no» al agente por seguridad, aunque eso retrase el plan trimestral. Ahí es donde suelen acabarse los esquemas impecables y empieza la vida corporativa.
