Evita fugas de PII en registros de agentes: auditoría en 4 etapas

Un agente puede filtrar un detalle de un cliente en un prompt, un token en una llamada a herramienta y un registro regulado en una salida. La fuga puede persistir en los registros. Realiza una auditoría de fugas de PII en 4 etapas: redacta la PII en la recepción del prompt, inspecciona las llamadas a herramientas en busca de secretos y accesos excesivamente amplios, escanea las salidas en busca de identificadores y aplica reglas de retención y eliminación.

Los registros de agentes son la superficie de fuga

Las empresas gestionan ahora 50 identidades no humanas por cada 1 identidad humana. Se espera que los agentes de IA específicos de tarea aparezcan en el 40% de las aplicaciones empresariales para finales de 2026, frente a menos del 5% en 2025. Más de 3 millones de agentes de IA operan a nivel mundial, y las organizaciones crean miles de agentes cada semana. Según un informe, el 80% de los profesionales de TI afirman haber observado agentes de IA actuar sin autorización o de maneras inesperadas.

Los operadores suelen asumir que el modelo es el riesgo. El registro es el riesgo. Un prompt puede eliminarse de la interfaz, pero el registro lo conserva. Las llamadas a herramientas reintentadas escriben otra copia. Una salida puede mostrarse y luego archivarse en un ticket, una traza y un panel de monitoreo.

Ese comportamiento de copia cambia el control. Necesitas una regla para lo que entra en el registro, lo que el registro puede hacer y cuándo se elimina el registro. Los registros son la pista de auditoría y el registro de exposición.

Realiza la auditoría en 4 etapas antes de escalar

Trata cada ruta de datos del agente como un pipeline de identidad gobernado. La auditoría verifica la recepción de prompts, las llamadas a herramientas, las salidas y la retención. Cada elemento siguiente es un control que puedes verificar en una revisión de registros.

• Confirma que los prompts se redactan o tokenizan antes del almacenamiento y las llamadas al modelo.
• Confirma que las llamadas a herramientas usan el menor alcance posible y que no aparecen secretos en los registros.
• Confirma que las salidas se escanean en busca de identificadores antes del almacenamiento.
• Confirma que las reglas de retención y eliminación se ejecutan y que los fallos generan alertas.

La recepción del prompt es la puerta de entrada. Un mensaje de usuario puede contener un nombre, una dirección, un correo electrónico, un número de teléfono o un detalle de salud. El registro se convierte en una copia de esos datos. Según el HIPAA Safe Harbor, la información de salud debe tener 18 identificadores específicos eliminados para ser desidentificada. Aplica esa regla a los datos de salud y utiliza una política de PII más amplia para otros datos.

La tokenización es más fuerte que el enmascaramiento cuando el agente necesita actuar sobre el valor. Reemplaza el valor crudo con una referencia que el agente pueda utilizar y guarda esa referencia en un almacén separado con control de acceso. Si el agente no puede actuar sin el valor crudo, decide si la tarea justifica la exposición.

Las llamadas a herramientas son donde el acceso se convierte en acción. Los ataques de envenenamiento de herramientas contra Model Context Protocol, un estándar de llamadas a herramientas para agentes, tuvieron éxito en el 72.8% de las pruebas de referencia, mientras que el 53% de los servidores MCP públicos usaba secretos estáticos y solo el 8.5% usaba OAuth, un protocolo de autorización estándar. Una llamada a herramienta puede contener un token, un alcance o un objetivo. El registro puede copiar cada uno.

Los secretos estáticos son la exposición más común. Están en archivos de entorno, blobs de configuración y metadatos del servidor. Un registro puede copiarlos en una solicitud, un error o una traza de depuración. Prefiere credenciales de vida corta, tokens con alcance limitado y referencias de secretos. Si una herramienta necesita una clave de vida larga, trata esa clave como candidata a violación en el momento en que aparece en un registro.

Las salidas pueden repetir o crear identificadores. El modelo puede repetir un prompt, resumir un registro o generar un nuevo identificador. La respuesta puede contener los mismos datos que tenía el prompt, además de datos nuevos.

No dependas del modelo para saber qué no debe repetir. Las instrucciones del prompt son un control, no un límite. Coloca un escáner después del modelo y antes del registro. El escáner debe capturar los identificadores que el redactor del prompt pasó por alto y debe señalar nuevos formatos que aparezcan después de una actualización del modelo.

La retención es el control final. Los registros que permanecen más allá de su propósito crean exposición. Un almacén de registros puede conservar prompts, llamadas a herramientas, salidas y trazas mucho después de que termina la tarea.

Las reglas de retención necesitan un registro de eliminación. Que un almacén de registros diga que eliminó datos no es suficiente. Conserva un registro de eliminación que muestre que la tarea se ejecutó, que el alcance coincidió y que el resultado se verificó. Si el registro de eliminación es en sí mismo sensible, guárdalo con los mismos controles de acceso que el registro original.

La auditoría debe rastrear cada cambio

Realiza la auditoría sobre una muestra de registros de producción, no solo sobre tráfico de prueba. Incluye llamadas fallidas, reintentos y tareas de larga duración. Esas rutas suelen contener los datos más sensibles.

Asigna un responsable para cada ruta: redacción en la recepción del prompt, alcances y secretos de herramientas, escaneo de identificadores en salidas y tareas de eliminación de retención. Cuando aparece una fuga, el responsable puede rastrear la ruta y corregir el control.

Vuelve a ejecutar la auditoría después de cada cambio de modelo, cambio de herramienta o cambio de esquema de registro. Una herramienta nueva puede añadir una nueva ruta de secretos. Un nuevo formato de salida puede añadir un nuevo identificador. Registra el resultado y corrige el control antes del siguiente lanzamiento.