Qué hacer
esta semana 8 de octubre de 2026
informativa · global

Agentes de IA necesitan identidad propia y aún no hay estándar

Cloud Security Alliance (CSA Labs) publicó un white paper que plantea una tesis simple: los agentes de IA autónomos no caben en el modelo de identidad no humana que usamos hace veinte años, porque son efímeros, delegan autoridad en cadenas de varios saltos y actúan sin que haya un humano presente en el momento de la decisión. Este análisis es una síntesis propia de Vantis sobre ese documento, no una traducción.

Esta semana — prioridad 1

• Inventariar y registrar formalmente cada identidad de agente de IA en uso (incluidas las creadas implícitamente por frameworks que reutilizan credenciales de desarrollador) esfuerzo medio · attack M1047 · cis 5.1 · iso27001 A.5.9
• Migrar todo agente que opera con credencial compartida o de cuenta de servicio a una identidad propia, única y acotada esfuerzo alto · attack M1026 · cis 5.4 · iso27001 A.5.17
• Exigir OAuth 2.1 con PKCE y Resource Indicators (RFC 8707) en todo servidor MCP expuesto a agentes, propios o de terceros esfuerzo medio · attack M1018 · cis 3.10 · iso27001 A.8.24

Este mes — prioridad 2

• Levantar un registro interno de agentes con dueño, herramientas permitidas y pares autorizados, equivalente al registro voluntario que recomienda el addendum de Singapur esfuerzo medio · attack M1047 · cis 5.1 · iso27001 A.5.16
• Exigir verificación humana antes de que un agente ejecute una acción de alto impacto: modificar datos persistentes, acceder a sistemas externos o desplegar cambios esfuerzo medio · attack M1018 · cis 6.8 · iso27001 A.8.2
• Monitorear la telemetría de identidades de agente como clase separada de usuarios y cuentas de servicio en el SIEM esfuerzo bajo · attack M1047 · cis 8.2 · iso27001 A.8.15