SOC 2 para agentes de IA: cinco controles que demostrar

Antes de que una empresa otorgue autonomía a un agente de IA, exigirá pruebas de que cada acción se mantuvo dentro de los límites aprobados. La prueba es la superficie de control que rodea al modelo. Los compradores solicitarán evidencia de que el agente no podía actuar fuera de su alcance, de que sus acciones quedaron registradas y de que un humano podría reproducirlas.

El reloj de la amenaza es más corto que el ciclo de revisión

Los atacantes se mueven más rápido que la revisión manual. El tiempo medio de escalada en eCrime descendió a 29 minutos, un aumento del 65% en velocidad respecto a 2024. Michael Sentonas, presidente de CrowdStrike, dijo al público de CrowdStrike Fal.Con que el tiempo de escalada ahora es cero.

La pregunta de revisión cambia. Cuando un agente se mueve por los sistemas sin un humano en el circuito, la empresa debe demostrar un alcance acotado, entradas trazables y salidas revisables. La velocidad no demuestra seguridad. La empresa necesita el límite, el registro y la validación.

Cinco controles hacen que un agente de IA sea defendible

Use esta lista de verificación antes de que el agente actúe solo. Cada elemento debe ser verificable en un minuto, no en un ensayo de política. La evidencia debe ser operativa: un archivo de configuración, una lista de permisos, un mapa de datos, un registro de identidad o una entrada de registro. Un control que solo existe en una presentación no es un control.

• Alcance del prompt: el agente tiene un límite de tarea escrito, y ese límite es visible en el prompt, la configuración o las instrucciones del sistema. Un probador puede confirmar que el agente rechaza una solicitud fuera de su alcance sin una intervención humana.
• Permisos de herramientas: cada herramienta que el agente puede invocar está listada, con privilegio mínimo y desactivada por defecto. Un probador puede confirmar que el agente no puede acceder a datos de producción, sistemas de pago o APIs de administración a menos que el permiso se otorgue explícitamente.
• Linaje de datos: la empresa puede mostrar de dónde provenían las entradas del agente, cómo se almacenaron y qué modelo o herramienta las procesó. Un probador puede rastrear una solicitud de muestra desde la fuente hasta la salida sin conjeturas.
• Controles de acceso: humanos y agentes usan identidades separadas, con roles acotados y credenciales revocables. Un probador puede confirmar que la identidad de un agente no puede usarse para iniciar sesión, aprobar o escalar fuera de su alcance asignado.
• Registros de auditoría: cada acción autónoma queda registrada con actor, marca de tiempo, entrada, llamada a herramienta, salida y estado de aprobación. Un probador puede reproducir una acción y ver por qué fue permitida.

El orden sigue la ruta de fallo. Los controles que no pueden verificarse en un minuto no sobrevivirán a una auditoría.

La validación es la puerta de liberación

La autonomía debe ganarse por etapas. El nuevo agente autónomo de detección y respuesta a amenazas de identidad de Blackpoint Cyber puede detener ataques basados en credenciales en cuentas de Microsoft 365 y Google Workspace en 21 segundos en su caso más rápido. El mismo agente se construyó sobre señales de endpoint de más de un millón de endpoints protegidos en su base de clientes MSP.

Antes de permitir la acción autónoma, Blackpoint Cyber dedicó meses a contrastar cada recomendación del agente de IA SOC con analistas humanos. Joe Ussia, CEO de Infinite IT Solutions, socio de Blackpoint Cyber con sede en Toronto, dijo que Blackpoint no se conforma con un tiempo de contención de 21 segundos. El patrón es: acción acotada, rendimiento medido, validación humana y luego autonomía ampliada.

Aplica la misma secuencia a cada liberación. Comienza con una tarea estrecha. Ejecuta el agente bajo revisión humana. Compara sus recomendaciones con las decisiones que tomaría un humano. Solo cuando la tasa de discrepancia sea aceptable, el agente debe actuar solo. La tasa de discrepancia es la evidencia de que el alcance, las herramientas, los datos, el acceso y los registros del agente se mantienen. Mantén el registro de liberación separado de la tarjeta del modelo. Debe indicar el responsable, la fecha y la ruta de reversión.

Las excepciones son donde la revisión se rompe. Un control no es real cuando el agente puede eludirlo. Las intervenciones humanas deben registrarse y tener un límite de tiempo. Las habilitaciones temporales de herramientas deben expirar. Los auditores buscarán la ruta desde la excepción hasta el incidente.

Si el agente no puede superar las cinco pruebas, manténlo supervisado y corrige los controles antes de la siguiente liberación.