Verifique cinco controles antes de enrutar el tráfico de agentes

Está decidiendo si el tráfico de agentes debe pasar por un plano de control de un proveedor. La prueba es si el proveedor puede demostrar los controles, no si el diagrama parece unificado. El 24 de septiembre de 2026, Island anunció una ronda Series F de $400 millones con una valoración de $6.4 mil millones. Evolution Equity Partners lideró la ronda e impulsó la inversión total por encima de $1 mil millones. La financiación demuestra demanda, pero no responde a la pregunta del operador. Palo Alto Networks, junto con un grupo creciente de startups, está desarrollando productos para proteger sistemas de IA, identidades de agentes y los datos a los que esos sistemas pueden acceder.

La narrativa de cinco capas necesita pruebas

Island presenta su plano de control como un sistema de cinco partes que abarca el control de última milla, la red, los datos, la identidad y la observabilidad. Cada capa es una superficie donde un agente puede fallar. La plataforma utiliza un diseño SASE de extremo hacia afuera para acceso a red de confianza cero, verificaciones de postura de dispositivo y prevención de pérdida de datos (DLP) en línea, sin una VPN tradicional. La oferta Enterprise AI de Island incluye gobernanza de identidad, controles de acceso, barreras de seguridad, límites de datos, aprobación humana y supervisión de costos, junto con registros de auditoría en navegadores, extremos, servicios en la nube y recursos internos. El operador aún necesita ver cada control funcionando en la ruta que utilizará el agente.

Un plano de control es tan fuerte como la superficie que no cubre. Si un agente puede invocar un servicio en la nube fuera del navegador, los controles de identidad y DLP pueden dejar de aplicarse. Si el registro de auditoría no puede salir del proveedor, el operador no puede reconstruir un incidente para un regulador, un cliente o una revisión interna. La ruta es la prueba.

Realice las cinco verificaciones antes de enrutar el tráfico

Use la lista de verificación como una pasada de diligencia debida. Cada elemento es una pregunta para una llamada con el proveedor, y cada respuesta debe ser verificable en una demostración o en una respuesta por escrito.

• ¿Quién emite la identidad del agente? Solicite el emisor, el alcance y el comportamiento de revocación. La identidad debe mapearse a un propietario humano y dejar de funcionar cuando el propietario se vaya. Una revocación que no puede demostrarse es un control ausente.
• ¿Dónde reside el registro de auditoría y puede exportarlo? Confirme la ubicación de almacenamiento y la ruta de exportación. El registro debe cubrir las acciones y decisiones del agente. Un registro que no puede salir del proveedor no puede respaldar la reconstrucción de un incidente después de que se vaya.
• ¿Qué límites de datos se aplican en línea? Identifique qué reglas de DLP se ejecutan en la ruta del agente, no solo en el extremo. Solicite una demostración de una política que impida al agente acceder a datos protegidos. Un plan de ruta futuro no es un límite.
• ¿Cómo se aplican las aprobaciones humanas y la gobernanza de costos? Revise el flujo de trabajo de aprobación y el límite de costos que detiene el trabajo. La aprobación debe requerir a un humano, y el control de costos debe detener al agente antes de que el gasto supere el límite. Los controles consultivos no se sostienen en producción.
• ¿El punto de estrangulación del navegador o del extremo coincide con su despliegue? Mapeé dónde se ubica el plano de control en la ruta. Para agentes basados en navegador, el punto de estrangulación debe estar allí. Para agentes en extremos, servicios en la nube o recursos internos, el proveedor debe mostrar los mismos controles en esas superficies. Una discrepancia significa que el agente puede eludir la capa.

La escala no es un control

Island tenía 1,000 empleados y duplicó sus ingresos recurrentes anuales (ARR) cada año fiscal después de su lanzamiento en 2022. El crecimiento importa cuando elige un proveedor que seguirá presente después del piloto. No reemplaza las verificaciones. Una empresa grande aún puede lanzar un plano de control que no puede revocar una identidad de agente ni exportar su propio registro de auditoría. Un proveedor que no puede demostrar la revocación o la exportación no está listo para producción. Trate la escala como una señal de durabilidad y luego pruebe los controles.

Haga que el piloto demuestre la ruta

Envíe la lista de verificación al proveedor antes del piloto. Solicite una respuesta por escrito para cada elemento y marque cualquier respuesta que dependa de una liberación futura. El piloto debe probar la misma ruta que el agente utilizará en producción. Guarde las respuestas junto con el registro del piloto.