Lo que hace falta para confiar trabajo real a un agente de IA

La mayoría de los productos de seguridad para IA parten de una lista de amenazas y añaden una función para cada una. Las listas de amenazas crecen cada mes, así que un producto construido de esa forma siempre va un paso por detrás. Hay un punto de partida más firme: el propio agente, lo que es y lo que tendría que ser cierto para que una empresa pudiera confiarle trabajo real.

Un agente lee, decide y actúa. Envía el correo, actualiza el registro, llama al servicio de pagos, con las credenciales que su empresa le dio.

Por eso el riesgo de un agente no está en lo que dice. Está en lo que puede alcanzar, en la rapidez con que actúa y en cuánto tarda alguien en darse cuenta cuando algo sale mal.

Esa sola observación descarta mucho. Un filtro que solo lee lo que una persona escribe en un chat no ve la parte que importa, que es lo que el agente hace después.

Ninguna herramienta puede leer el propósito detrás de una acción. Lo que sí se puede leer, de forma fiable y cada vez, es la acción misma: la herramienta que se llama y con qué argumentos, el destino de una solicitud saliente, el contenido de una llamada a un modelo.

Por eso Excubitor controla en el punto de la acción.

Dentro de la aplicación, o en una pasarela delante de los servidores de herramientas, cada llamada se comprueba antes de ejecutarse: frente a la política del agente, frente a los destinos que la empresa autorizó y en busca de instrucciones ocultas en lo que el agente recibió. Los controles son deterministas y rápidos, porque un control que añade segundos a cada acción no se queda activado.

De ahí se deduce que el contenido que lee un agente no es de confianza. Un documento, un correo o la respuesta de una herramienta pueden llevar instrucciones escritas por otra persona. Excubitor lo trata así: una herramienta cuya descripción esconde una instrucción se retira de la lista del agente, y una respuesta que lleva una se retiene antes de que el agente la lea.

Si un agente puede actuar por su cuenta, alguien debe poder detenerlo por su cuenta, y esa detención no puede depender de que el agente esté de acuerdo.

En Excubitor, una ejecución que entra en bucle o se acelera queda contenida por regla. Cualquier persona del equipo puede congelar un agente, y su siguiente llamada se rechaza. Liberarlo requiere a un administrador y una nota. Todo lo que no se puede deshacer, como un pago o un borrado, espera la aprobación de una persona con nombre. Detener es automático solo donde se puede revertir.

Después de un incidente, o ante un auditor, la pregunta es qué pasó. Un registro que las personas bajo revisión podrían haber cambiado no responde nada.

Por eso cada acción entra en un libro de registro donde cada entrada está encadenada a la anterior, y la cadena se firma cada hora.

En nuestro servicio alojado, cualquier entrada individual viene con una prueba breve que cualquiera puede comprobar sin conexión con nuestra clave pública, sin acceso a la consola y sin confiar en nosotros. Las entradas guardan huellas de lo que se envió y se recibió, nunca el contenido, para que el registro de seguridad no se convierta en una segunda copia de los datos de la empresa.

Gestionado con evidencia, nunca por fe.

Algunas empresas pueden enviar registros a un servicio alojado. Otras no pueden dejar que nada salga de su propia nube, y algunas operan redes sin ninguna salida. Un control que solo funciona en la nube del proveedor es un control que esas empresas no pueden usar.

Excubitor funciona alojado, en la nube del propio cliente o totalmente aislado, a partir de un paquete firmado que se comprueba antes de instalarse.

Sin acceso permanente del proveedor, nunca.

Queda una pregunta: qué pasa cuando el propio control no puede ejecutarse. Una herramienta de seguridad tiene entonces que elegir entre detener el negocio o dejar que el trabajo continúe.

Por defecto, Excubitor deja que el agente siga funcionando y registra el hueco, para que la caída de una herramienta de seguridad nunca sea la caída de la empresa.

Un equipo que prefiera detenerse puede configurarlo para fallar cerrado.

Lo que todo esto suma

En conjunto, describen el producto:

• Control en la acción: llamadas a herramientas, conexiones salientes y llamadas al modelo, comprobadas antes de que ocurran.
• Detener sin cooperación: contención por regla, congelación por una persona, acciones irreversibles retenidas hasta su aprobación.
• Evidencia que no depende de la confianza: un libro de registro encadenado y firmado, con pruebas por entrada en nuestro servicio alojado.
• Despliegue donde están los datos: alojado, en la nube del cliente o aislado.
• Fallos que no tumban el negocio: el hueco se registra y el trabajo continúa, salvo que el cliente decida otra cosa.

Lo que no hace

El mismo razonamiento marca los límites. Excubitor registra lo que hizo un agente y nunca afirma juzgar lo que el agente quiso hacer. Sus controles detectan los patrones que conocen; un atacante lo bastante paciente como para mantenerse dentro del comportamiento normal no activará un umbral en tiempo real, y por eso cada agente se compara también con su propio comportamiento habitual a lo largo del tiempo. Y funciona dentro de la aplicación, de modo que se combina con la política de red, no la sustituye.

Si está decidiendo si su empresa puede confiar trabajo real a agentes de IA, empiece por el agente, no por la lista de amenazas. Con gusto le mostraremos cómo responde Excubitor con un agente de su propia empresa.