Soy fanático de Star Wars desde que me senté en el cine y vi la nave rebelde de la princesa Leia intentando escapar de un Destructor Estelar Imperial. Es imposible ver esa película (o su mejor sucesora, Andor) y no ponerse del lado de los rebeldes, decididos a escapar del puño de hierro del control imperial.

Por supuesto, en mi trabajo como profesional de seguridad, el "control" es el nombre del juego. He pasado gran parte de mi carrera tratando de evitar que los usuarios finales se salgan de lo establecido, además de protegernos de agentes externos maliciosos. Personalmente creo que sigo siendo el bueno, porque mi objetivo último es proteger datos sensibles, pero entiendo por qué los equipos de TI y seguridad suelen ser vistos como los malos. Después de todo, operamos según algo llamado la "regla del no". No es una buena marca, y cada vez funciona menos.

Esta es la situación en 2025: tenemos una galaxia de aplicaciones, dispositivos e identidades de usuario diversas que acceden a datos corporativos. Estos sistemas dispares se resisten al control centralizado, en parte porque es muy fácil para los usuarios expertos usar aplicaciones SaaS no autorizadas y dispositivos personales para trabajar. Estos usuarios no actúan con malicia, simplemente intentan usar las mejores herramientas para ser productivos. Sin embargo, las herramientas actuales de IAM, MDM y SSO no fueron diseñadas para estos comportamientos.

El resultado es una brecha de acceso y confianza cada vez mayor que socava los cimientos de la seguridad. (Para los no familiarizados, la brecha de acceso y confianza se refiere a los riesgos de seguridad que plantean las identidades no federadas, dispositivos no gestionados, aplicaciones y herramientas impulsadas por IA que acceden a datos corporativos sin controles de gobernanza adecuados). Si me permiten mantener la analogía de Star Wars, piensen en ello como ese pequeño respiradero sin vigilancia que resulta ser un defecto de diseño fatal para la Estrella de la Muerte.

La proliferación de accesos fuera de la visibilidad y el control de los equipos de seguridad ha creado una crisis de gobernanza del acceso, y aún no hemos introducido el cambio más revolucionario. Me refiero, por supuesto, a la IA agentiva.

Los agentes de IA apenas han comenzado a extenderse en las empresas, y ya están revolucionando todo lo que creíamos saber sobre la seguridad del acceso. Para esbozar el desafío, estos agentes autónomos de IA requieren permisos amplios para funcionar, extraer datos y realizar acciones en múltiples sistemas. En cierto modo, estos agentes tienen los mismos requisitos que cualquier otro trabajador: necesitan credenciales, acceso adecuado según su rol y que ese acceso sea revocable cuando ya no lo necesiten. Pero los agentes de IA también se comportan de formas profundamente diferentes a los humanos: toman decisiones más rápido y a menudo de manera opaca.

La seguridad rara vez forma parte de la ecuación con estos sistemas; están diseñados para aumentar la eficiencia y la productividad, por lo que a menudo eluden protecciones básicas como la MFA. Esto crea el riesgo de otorgar acceso sin suficiente confianza en los agentes de IA. Existe potencial para explotar la confianza y obtener acceso mediante jailbreaks o inyección de indicaciones. Con la velocidad y escala de la toma de decisiones y la falta de explicabilidad, vemos la rápida erosión de los modelos de control tradicionales. La situación recuerda a los primeros días de internet, cuando la innovación y el entusiasmo masivo iban muy por delante del cifrado sólido o los protocolos de control de acceso. Ahora, como entonces, corremos el riesgo de cavar un agujero de seguridad del que nos llevará años salir.

Ahora es el momento, antes de que la presa de la IA agentiva se haya roto por completo, de abordar la brecha de acceso y confianza. También es el momento perfecto para repensar el enfoque restrictivo de la "regla del no" en seguridad que nos ha llevado hasta aquí.

La verdad es que los usuarios finales, como los rebeldes de Star Wars, simplemente no pueden ser detenidos de usar las herramientas que los hacen más productivos. Y francamente, el rol de la seguridad no debería ser intentar detenerlos, sino permitirles experimentar e innovar de forma segura. Así que, en lugar de intentar (y fracasar) bloquear cada dispositivo personal, aplicación no aprobada y agente de IA, debemos centrarnos en asegurarlos. Permitir a los usuarios usar sus portátiles personales, pero exigir que estén en un estado seguro y conforme. Permitir a los usuarios usar sus aplicaciones SaaS preferidas, pero exigir autenticación sólida. Permitir y alentar a los usuarios a experimentar con agentes de IA, pero con permisos adaptados, registros detallados y un humano siempre en el circuito.

Adoptar un enfoque de seguridad centrado en el usuario y basado en la "regla del sí" es la única manera de atraer eficazmente la TI en la sombra y la IA hacia la luz. Aún mejor, permite que los equipos de seguridad y TI estén donde siempre hemos debido estar: del lado de los buenos.

Acerca del autor: Dave es el CISO Asesor Global de 1Password. Cuenta con más de 30 años de experiencia en operaciones y gestión de seguridad de TI en empresas como Akamai, IBM, Duo Security, Cisco y AMD. También es fundador del sitio de seguridad Liquidmatrix Security Digest y presentador de los podcasts Liquidmatrix, Plaintext y Chasing Entropy. Actualmente forma parte de la junta directiva de BSides Las Vegas y del consejo asesor de la Black Hat Sector Security Conference. Co-fundó la conferencia BSides Toronto y fue miembro del equipo de operaciones de oradores de DEF CON durante más de 13 años. Anteriormente ocupó un cargo en la junta de (ISC)². Por diversión, a Dave le encanta tocar el bajo, hacer barbacoas y pasar tiempo de calidad con sus hijos. También es copropietario de una destilería de whisky y un equipo de fútbol.