La IA avanza rápidamente. En muchos casos, más rápido que los controles de seguridad diseñados para regularla.
Las empresas están implantando IA generativa, sistemas agénticos y flujos de trabajo asistidos por IA a un ritmo que supera sistemáticamente la capacidad de los procesos formales de revisión de seguridad. Las unidades de negocio siguen avanzando, mientras los responsables de seguridad intentan cerrar brechas que se amplían en tiempo real.
En medio de toda esta urgencia, hay un problema al que no se presta suficiente atención: todavía no contamos con estándares rigurosos y ampliamente aceptados para evaluar si los controles de seguridad de la IA funcionan realmente. Los proveedores hacen afirmaciones. Las demostraciones tienen un alcance limitado. Las garantías se basan en diagramas de arquitectura, en lugar de en pruebas obtenidas en entornos reales. Compradores, CISO, responsables de GRC y arquitectos empresariales se ven obligados a tomar decisiones de gran trascendencia sin una forma fiable de distinguir los controles eficaces del buen marketing.
Esa es la carencia que nos propusimos subsanar.
Hoy, la empresa independiente de pruebas de ciberseguridad NSS Labs está publicando una serie de estudios en dos partes sobre cómo evaluar la seguridad de la IA empresarial, desarrollada en colaboración con F5, AWS y Microsoft.
- Parte 1, Seguridad de la IA más allá del modelo: Qué debe preocupar a las empresas y por qué, explica por qué la seguridad de la IA empresarial supone un reto de sistemas y gobernanza, y no un problema limitado únicamente al modelo. Analiza toda la superficie de riesgo: la integridad de las entradas y el control de las instrucciones, el riesgo de las salidas y la exfiltración de datos, la resiliencia del sistema bajo presión, la IA agéntica y la autoridad delegada, la observabilidad y el análisis forense, así como los requisitos de gobernanza que articulan todos estos aspectos.
- La parte 2, «Evaluación de la seguridad de la IA empresarial: preguntas que todo comprador debería poder responder», lleva ese marco a la práctica. Proporciona a los CISO, a los compradores empresariales y a los equipos de GRC las preguntas concretas que deben plantear a los proveedores, las señales de alerta a las que deben prestar atención y los criterios de evaluación cuantitativos necesarios para tomar decisiones fundamentadas, fiables y defendibles al seleccionar controles de seguridad para la IA.
Las barreras de protección de la IA son el pilar de la seguridad de la IA
Si quieres entender qué son las barreras de protección de la IA y por qué son importantes, te recomiendo que leas nuestro artículo anterior sobre el tema. En pocas palabras: las barreras de protección de la IA son controles de seguridad en tiempo de ejecución que operan fuera del modelo para aplicar políticas, proteger los datos, limitar el comportamiento de los agentes y generar el registro de auditoría que exige la gobernanza.
No son el modelo en sí. Son la capa de seguridad empresarial que hace posible
El sector necesitaba un punto de referencia
Una de las cosas más difíciles en cualquier ámbito tecnológico que evoluciona con rapidez es detenerse el tiempo suficiente para definir cómo deben hacerse bien las cosas. La presión por lanzar productos, competir y responder a la demanda de los clientes va en contra del tipo de reflexión deliberada e independiente de los proveedores que permite crear marcos duraderos.
Las empresas que han colaborado en este informe técnico —F5, AWS y Microsoft— trabajan con muchas de las empresas más grandes y sofisticadas del mundo que están adoptando la IA a gran escala. Observamos patrones de amenazas, fallos de implementación, carencias de gobernanza y casos extremos que la mayoría de los proveedores nunca llegan a encontrar.
Combinar ese profundo conocimiento de la realidad con el rigor de NSS Labs en la metodología de pruebas independientes nos proporcionó la base para desarrollar algo que esperamos que resulte verdaderamente útil. No se trata de un discurso comercial, sino de un marco práctico creado por personas que trabajan a diario en estos problemas.
Agradezco a todas las personas que dedicaron su tiempo y aportaron sus conocimientos para hacerlo posible.
El trabajo que queda por delante
Los estándares solo son útiles si se adoptan. Esperamos que este marco se convierta en un punto de referencia que las empresas utilicen para evaluar las soluciones de seguridad de IA que estén considerando.
Los compradores que entiendan en qué consisten unas pruebas rigurosas tomarán decisiones de compra mejor fundamentadas, y esperamos que esta exigencia contribuya a impulsar el avance de la comunidad de la ciberseguridad en su conjunto.
La IA no está frenando su avance. La superficie de ataque no se está reduciendo. Y la brecha entre el despliegue de la IA y la rendición de cuentas sobre su uso no va a cerrarse por sí sola.
Puede leer el informe técnico de NSS Labs, dividido en dos partes, aquí. También puede consultar nuestro comunicado de prensa sobre esta colaboración.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.