Los agentes personales de IA pueden entrar al trabajo sin pasar por TI

Amazon bloqueó a fines de septiembre a Muse, el agente personal de inteligencia artificial de Meta, porque navegaba su tienda sin identificarse como un bot y podía llegar a datos de las cuentas de los clientes, según la empresa. El caso muestra un problema que ahora llega a las oficinas: los agentes personales actúan con la identidad de su dueño, y desde afuera nadie los distingue de él.

Esos agentes, que en menos de un año pasaron de proyectos de código abierto como OpenClaw a productos de Meta, OpenAI y xAI, ya administran el correo, la agenda y las compras de millones de personas. El paso siguiente es el trabajo. Así lo plantea un artículo publicado el 12 de octubre en The Hacker News por Token Security, una empresa que vende controles de identidad para agentes de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso..

Un clic en "Permitir"

Para conectar un agente a los sistemas de la empresa no hace falta pedirle nada al área de sistemas. Alcanza con que el agente solicite acceso a Google Workspace, Microsoft 365 o Slack y el empleado acepte. Si la empresa deja que cada usuario autorice aplicaciones externas, ese es todo el trámite. Otros caminos son las contraseñas guardadas en el navegador del agente, que para el sistema parecen un inicio de sesión del empleado, y las claves de APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada. de larga duración que el propio usuario genera.

El agente también puede trabajar desde la computadora del empleado. Muse tiene una aplicación para Mac que, con permiso del usuario, lee archivos, notas, calendarios y correos, y puede recibir acceso completo al disco. Ese permiso ya generó una disputa: el periodista Jason Aten, de Inc., denunció que Muse leyó sus mensajes privados con el acceso apagado. Meta lo negó y explicó que hacen falta tres permisos distintos, según TechCrunch.

Controles para la empresa, pero solo para los suyos

Los fabricantes empiezan a sumar controles corporativos. OpenAI trabaja con Microsoft para desplegar Dots dentro de Agent 365, con identidades y credenciales propias para cada agente. El problema, según Token Security, es que esos controles solo cubren las instalaciones que la empresa administra. Un agente que el empleado contrató por su cuenta no aparece en ninguna consola.

Instinct es el caso más visible. La startup de San Francisco, que funciona a través de aplicaciones de mensajería y se conecta con las cuentas de Google, Apple o Facebook del usuario, recaudó 1.000 millones de dólares con una valuación de 10.000 millones el 28 de septiembre. TechCrunch ya había advertido en agosto sobre los riesgos de privacidad y seguridad del asistente.

La arquitectura no resuelve el problema. Muse corre en una máquina virtual con un filtro llamado Sentinel que revisa cada conexión saliente, pero ese filtro aplica las reglas del usuario, no las de su empleador, y las sesiones corporativas quedan en servidores de otra empresa. Con un agente local, las credenciales no salen de la computadora, pero nada separa lo que hace el agente de lo que hace la persona.

Gobernar la identidad, no el agente

Bloquear todo no es la recomendación del artículo, porque los empleados ya dependen de estos agentes. La propuesta es controlar el otro extremo: las cuentas, los permisos y las sesiones que el agente usa dentro de la empresa. El primer paso es saber qué agentes ya están conectados, revisando las autorizaciones a aplicaciones externas, los inicios de sesión desde servidores de esos proveedores y las claves de API emitidas a clientes desconocidos.

Después, cada agente necesita un dueño identificado y permisos recortados, porque hereda todo lo que su dueño puede hacer aunque solo necesite una parte. Cuando el empleado se va, sus autorizaciones, claves y sesiones tienen que irse con él. Hay preguntas sin respuesta: todavía no hay forma de saber si quien entra con usuario y contraseña es la persona o su agente.