Las empresas modernas ya no dependen únicamente de los usuarios humanos. Tras bambalinas, miles de identidades no humanas—como cuentas de servicio, tokens de API y agentes de inteligencia artificial—operan de manera continua, accediendo a sistemas, moviendo datos y ejecutando tareas. Aunque estas identidades no son nuevas, se están multiplicando rápidamente y, a menudo, sin supervisión ni controles de seguridad claros, lo que genera importantes puntos ciegos para los equipos de TI y ciberseguridad.

El Creciente Riesgo de las Identidades No Humanas

Las arquitecturas “cloud-first” han acelerado la creación de identidades en segundo plano, muchas de ellas generadas automáticamente durante despliegues o provisión de servicios. En algunas organizaciones, las identidades no humanas superan a los usuarios humanos en una proporción de más de 80 a 1. Lamentablemente, la mayoría de estas cuentas tienen permisos excesivos y rara vez son revisadas, convirtiéndose en objetivos ideales para movimientos laterales y escalamiento de privilegios por parte de atacantes.

Los agentes de IA agregan un riesgo adicional. A diferencia de las cuentas de servicio tradicionales, los agentes de IA actúan de manera autónoma: consultan datos, llaman a APIs y toman decisiones sin intervención humana. La mayoría de las organizaciones carece de visibilidad sobre el comportamiento, ciclo de vida y propiedad de estos agentes, mientras que las credenciales persistentes y los permisos elevados aumentan su superficie de ataque.

Principales Desafíos de Seguridad

1. Visibilidad limitada – Muchas identidades no humanas funcionan como “cuentas sombra”, creadas de forma dinámica para funciones temporales y nunca documentadas. Sin un inventario completo, los equipos de seguridad no pueden gestionarlas eficazmente.
2. Cuentas con permisos excesivos – Para asegurar la funcionalidad de servicios o aplicaciones, los desarrolladores suelen otorgar permisos demasiado amplios. Esto, aunque conveniente, viola el principio de privilegio mínimo y deja sistemas expuestos.
3. Falta de contexto – La seguridad de identidad tradicional se basa en señales como dispositivo, ubicación o red. Las identidades no humanas carecen de estas señales, dificultando distinguir entre actividades legítimas y maliciosas.
4. Identidades huérfanas – Cuando una aplicación se retira o un desarrollador deja la empresa, las identidades asociadas suelen permanecer activas, convirtiéndose en “fantasmas digitales” que representan un riesgo de seguridad y un punto de entrada sin supervisión.

Estrategias para Recuperar el Control

Descubrir e Inventariar Todas las Identidades No Humanas

Las plataformas modernas de identidad permiten escanear entornos en la nube y locales, detectando tokens ocultos, cuentas de servicio no gestionadas y roles con permisos excesivos. Un inventario centralizado y en tiempo real reemplaza la suposición por datos precisos y sienta la base para una gobernanza efectiva.

Priorizar y Gestionar Identidades de Alto Riesgo

No todas las identidades no humanas representan el mismo riesgo. Se deben priorizar las acciones de mitigación según los niveles de acceso y permisos, aplicando el principio de menor privilegio. La rotación automática de secretos y la revocación de accesos ayudan a reducir la exposición, mientras que los “interruptores de emergencia” permiten detener inmediatamente un agente de IA ante comportamientos anómalos.

Automatizar la Gestión del Ciclo de Vida

Las identidades no humanas deben seguir políticas de ciclo de vida similares a las humanas: creación con propietario asignado, permisos acotados, seguimiento auditable y eliminación automática al finalizar su uso. Esto previene cuentas huérfanas y reduce el riesgo a largo plazo.

Implementar un Marco de Seguridad de Identidad Unificado

Los sistemas fragmentados complican la gestión de identidades no humanas. Un marco unificado consolida todas las identidades—humanas y no humanas—bajo un único plano de control, permitiendo:

• Identificación de brechas y visibilidad de las identidades
• Aplicación de acceso mínimo con rotación de secretos
• Definición de políticas de ciclo de vida para agentes y cuentas de servicio
• Gobernanza de servicios en la nube como AWS Bedrock y Amazon Q

Gestionar todas las identidades desde un solo sistema reduce puntos ciegos, acelera la respuesta y disminuye la superficie de ataque sin depender de múltiples herramientas.

Conclusión

Los agentes de IA y las identidades no humanas están transformando la superficie de ataque de las empresas modernas. Sin una gobernanza clara, permisos excesivos y visibilidad limitada, estas identidades se convierten en objetivos de alto valor para atacantes. Inventariando todas las identidades, aplicando controles escalables y automatizando la gobernanza, los equipos de seguridad pueden proteger su entorno de forma proactiva, evitando explotación antes de que ocurra.

Fuente: https://thehackernews.com/2025/09/how-to-gain-control-of-ai-agents-and.html