Tu agente de IA tiene permisos legítimos. Ese puede ser el problema.

Imaginemos este escenario.

Un agente de IA tiene acceso autorizado al CRM, correo corporativo y una plataforma interna.

Sus credenciales son válidas. No existe una cuenta comprometida. No hubo escalamiento de privilegios.

El agente recibe una instrucción aparentemente legítima y comienza a consultar información, cruzar datos y ejecutar acciones.

Técnicamente, no está haciendo nada para lo que no tenga permiso.

Y ahí empieza el problema.

Cuando “autorizado” deja de significar “seguro”

Gran parte de nuestros controles de identidad parten de una lógica relativamente sencilla:

Identidad + permiso + recurso.

Validamos quién solicita acceso, comprobamos sus privilegios y permitimos o rechazamos la acción.

Pero un agente introduce otra variable:

La intención.

Puede tener permiso para leer una base de datos.

Puede tener permiso para consultar correos.

Puede tener permiso para generar documentos.

El riesgo aparece cuando combina esas capacidades de una manera que nadie contempló.

Individualmente, cada acción puede ser válida.

La secuencia completa puede no serlo.

El problema de los permisos acumulados

Supongamos que un agente puede:

1. Consultar información del CRM.
2. Acceder a documentos internos.
3. Enviar correos.
4. Utilizar una API externa.

Probablemente cada permiso tenga una justificación operacional.

Pero juntos crean algo distinto.

El agente ya no tiene cuatro permisos independientes. Tiene una cadena potencial de acciones.

Puede extraer información del CRM, enriquecerla con documentos internos y posteriormente enviarla fuera de la organización.

Ningún control aislado necesariamente detectaría algo incorrecto.

El problema está en la combinación.

¿Least privilege sigue siendo suficiente?

El principio de mínimo privilegio (least privilege) continúa siendo fundamental, pero quizá tendremos que complementarlo.

Porque podemos otorgar a un agente exactamente los privilegios necesarios para realizar su función y, aun así, permitir comportamientos inesperados.

La pregunta deja de ser únicamente:

¿A qué puede acceder?

Y comienza a ser:

¿Qué secuencias de acciones estamos dispuestos a permitir?

Eso implica pensar en controles diferentes:

• Límites de transacciones.
• Restricciones contextuales.
• Aprobación humana para determinadas acciones.
• Monitoreo de comportamiento.
• Separación entre capacidad de lectura y capacidad de ejecución.
• Trazabilidad de las acciones.

Ya no basta con controlar los permisos individuales. También necesitamos entender qué puede ocurrir cuando esos permisos se combinan.

¿Quién autorizó realmente la acción?

Aquí aparece otro problema.

Si un empleado ejecuta una acción sensible, normalmente podemos identificarlo.

Pero cuando interviene un agente, la cadena puede ser mucho más compleja:

Usuario → agente → modelo → herramienta → API → sistema

Entonces, ante un incidente, decir que “el agente lo hizo” sirve de poco.

Necesitamos poder responder preguntas como:

• ¿Qué usuario inició la acción?
• ¿Qué instrucción recibió el agente?
• ¿Qué herramientas decidió utilizar?
• ¿Qué datos consultó?
• ¿Qué decisiones tomó durante el proceso?
• ¿Qué sistema autorizó cada paso?

Sin esa trazabilidad, investigar un incidente relacionado con agentes puede convertirse rápidamente en una caja negra.

El siguiente reto de IAM podría no ser identificar usuarios

Durante años, la gestión de identidades y accesos (IAM) se ha concentrado en responder tres preguntas:

• Quién eres.
• A qué tienes acceso.
• Qué puedes hacer.

Los agentes de IA podrían obligarnos a añadir una cuarta:

¿En qué contexto puedes hacerlo?

Porque una identidad válida ya no garantiza una acción legítima.

Un permiso válido tampoco garantiza un resultado seguro.

Y conforme los agentes obtengan mayor autonomía dentro de las organizaciones, quizá descubramos que uno de los mayores riesgos de la IA empresarial no será que alguien consiga acceso no autorizado.

Será que una identidad perfectamente autorizada haga algo que nunca imaginamos cuando le dimos permiso.