Por qué la gobernanza de identidades tradicional tiene dificultades para rastrear a los agentes de IA

La gestión del ciclo de vida de las identidades se diseñó para las personas: empleados que son contratados, reasignados y finalmente dados de baja mediante procesos de RR. HH. A medida que las organizaciones implementan más agentes autónomos de IA, los equipos de seguridad están descubriendo que este modelo establecido desde hace tiempo no se adapta a una nueva clase de entidades no humanas.

Un sistema diseñado en torno a los registros laborales humanos

Las herramientas convencionales de gobernanza y administración de identidades (IGA) parten de la premisa de que cada identidad tiene un responsable, un cargo y una relación clara con un sistema de gestión de personal como Workday, SAP SuccessFactors o ServiceNow HR. La incorporación de un nuevo empleado activa el aprovisionamiento, un ascenso modifica sus permisos y un evento de baja inicia los flujos de desactivación. Estos pasos crean el registro de auditoría utilizado para respaldar los requisitos de cumplimiento y las revisiones de acceso.

Esta estructura funciona porque el acceso humano suele seguir patrones predecibles. El control de acceso basado en roles puede vincular una función laboral con un conjunto conocido de permisos, mientras que las campañas de certificación y las comprobaciones de segregación de funciones proporcionan supervisión adicional.

Por qué los agentes de IA no encajan en el modelo del ciclo de vida

Los agentes de IA se crean de una manera muy diferente. A menudo son lanzados por desarrolladores, plataformas de automatización o marcos de orquestación, en lugar de sistemas de RR. HH. En vez de heredar el acceso mediante un proceso formal de incorporación, cambio de puesto y baja, pueden aprovisionarse con cuentas de servicio, claves de API o concesiones de OAuth en el momento de su creación.

Una vez en funcionamiento, estos agentes pueden comportarse de formas difíciles de predecir. Un agente diseñado para una tarea puede ampliar su alcance al invocar herramientas, recuperar datos o encadenar acciones en varios sistemas. Este crecimiento del alcance durante la ejecución es difícil de interpretar para las herramientas de identidad, especialmente cuando el agente se trata como una cuenta de máquina estática en lugar de como un actor autónomo.

Brechas de gobernanza que surgen a escala

El artículo también señala que los agentes pueden operar en paralelo en servicios en la nube, contenedores y plataformas SaaS, a veces con credenciales y contextos de sesión independientes. En configuraciones multiagente, un agente incluso puede delegar tareas a otro, lo que dificulta aún más entender quién o qué está utilizando el acceso en un momento determinado.

Para los equipos de seguridad, la preocupación no se limita al aprovisionamiento, sino también a la visibilidad y el control sobre cómo cambia el acceso durante la ejecución. Los productos IGA tradicionales no se diseñaron para rastrear entidades que pueden bifurcarse, multiplicarse e interactuar con sistemas fuera de una descripción de puesto fija.

• Los modelos del ciclo de vida centrados en las personas dependen de eventos de RR. HH.
• Los agentes de IA suelen crearse fuera de los flujos de incorporación gobernados.
• El comportamiento durante la ejecución puede ampliar el acceso más allá de los permisos iniciales.
• Es posible que las herramientas IGA existentes no detecten la proliferación de agentes en distintos entornos.

A medida que los agentes de IA se vuelven más comunes en los entornos empresariales, el artículo sostiene que la gobernanza de identidades deberá evolucionar más allá de las suposiciones creadas para los empleados humanos.