El mayor riesgo de seguridad quizá no sea el código que escribe tu equipo. Puede estar en el código y los servicios a los que tu equipo confía credenciales, datos y autoridad para actualizar, y la adopción de IA ha sumado muchos: puertas de enlace, proveedores de modelos, conectores y servidores de herramientas. Todos publican actualizaciones, y revisar manualmente cada lanzamiento no da abasto.
Un agente de IA puede hacer esa comprobación de forma continua. Mapea de qué dependes, compara cada lanzamiento nuevo con su origen y construcción esperados, determina a qué podría acceder cada componente si se viera comprometido y detiene un lanzamiento que no coincide antes de que llegue a producción. Las personas responsables de los componentes toman las decisiones de confianza que el agente no puede tomar.
Todos los nombres de componentes, identificadores, versiones, horas y hallazgos de esta guía son ficticios. Las referencias de credenciales no contienen valores secretos.
Deja que el agente mapee en qué confía el flujo
Dirige el agente a los manifiestos de paquetes, registros de imágenes, configuración de despliegue y registros de proveedores. Enumera paquetes, imágenes, puertas de enlace, conectores, habilidades de agentes, servidores de herramientas, servicios alojados y proveedores de modelos. Para cada uno, registra quién puede ver datos, guardar credenciales, publicar actualizaciones o cambiar el comportamiento de forma remota. Incluye a los proveedores que almacenan tus secretos, aunque ninguno de sus programas se ejecute en tus servidores.
Cada componente necesita una persona responsable de negocio. El agente propone una a partir del historial de cambios, los registros de despliegue y la facturación, y le pide a la persona probable que lo confirme. La lista de revisión de seguridad abarca una evaluación más amplia de agentes; esta guía cubre las dependencias que los rodean.
Deja que el agente rastree cada lanzamiento hasta el artefacto que ejecutas
Para cada actualización, el agente sigue la cadena desde el repositorio de origen hasta la construcción, el publicador, el artefacto descargado y el despliegue. Registra el origen, el publicador, la versión y resumen criptográfico desplegado aprobados. Las etiquetas pueden apuntar a bytes distintos con el tiempo, así que el agente fija su comparación a los resúmenes. Inspeccionar el origen e identificar el artefacto desplegado responden preguntas diferentes, y el agente registra ambas.
La comprobación se ejecuta antes de conceder acceso a producción, de modo que un lanzamiento que no coincide se detiene en el punto de retención.
Comprueba la procedencia y entiende sus límites
Cuando tus herramientas lo admitan, el agente verifica firmas y certificaciones de construcción frente a identidades aprobadas y compara huellas de artefactos. Fija los despliegues a resúmenes criptográficos en vez de etiquetas que pueden cambiar.
Una huella coincidente identifica bytes. No demuestra que se hayan construido a partir del origen aprobado, y una firma válida puede provenir de un proceso ascendente comprometido. Por eso el agente comprueba conjuntamente la identidad firmante, el origen y la evidencia de construcción. La falta de procedencia se registra como una brecha abierta, nunca como un aprobado.
Deja que el agente mapee a qué puede acceder cada componente
Para cada componente, el agente registra identificadores de credenciales, datos que puede leer, acciones permitidas, cuentas conectadas y sistemas accesibles. Responde la pregunta que haría un atacante: ¿qué podría leer, cambiar, enviar o desbloquear este componente si se viera comprometido? Después prepara cómo limitar o revocar cada concesión y cuánto tardaría.
Una puerta de enlace puede guardar claves de proveedores y leer el tráfico de solicitudes. Un conector puede escribir en registros empresariales. Un acceso amplio puede hacer que un componente conocido sea más prioritario incluso cuando sus comprobaciones de procedencia se aprueban. Usa revisión de herramientas y acceso a datos y permisos y límites para comprobaciones por operación. La comparación entre puerta de enlace LLM y plataforma de agentes de IA separa el enrutamiento y el alcance de credenciales de la ejecución del agente.
Retén el cambio inesperado y luego investígalo
La puerta de enlace candidata 2.8.0 llega a las 11:02. Su huella coincide con el lanzamiento publicado, pero su registro de lanzamiento nombra gateway-releases-mirror en vez del origen aprobado gateway-releases.
La canalización de despliegue promueve un lanzamiento solo después de que se aprueba la comprobación de verificación del agente, por lo que el fallo del agente retiene la ejecución pipe-7731 a las 11:04. Producción sigue en 2.7.4. El agente no puede promover un lanzamiento ni anular la regla; solo puede negarse a aprobarlo.
El agente investiga entonces la retención:
- La certificación de construcción del espejo nombra una identidad de constructor que no figura en la lista aprobada.
- El origen aprobado todavía no tiene un lanzamiento 2.8.0.
- El candidato solicita un permiso nuevo: acceso saliente a un host que no está en la lista.
Pone en cuarentena al candidato y envía a la persona responsable de la plataforma un hallazgo con la evidencia adjunta. La persona responsable tiene una sola pregunta que responder: ¿es el espejo un origen legítimo? El agente ya ha determinado por qué el lanzamiento no debería ejecutarse hasta recibir esa respuesta.
El agente también propone las demás condiciones de retención a partir de tu historial de lanzamientos y, una vez que la persona responsable las aprueba, las aplica igual cada vez: un publicador inesperado, una identidad firmante ausente o diferente, un resumen que no coincide o permisos nuevos.
Ficha de confianza: revisión del lanzamiento de puerta de enlace (ilustrativa)
- Procedencia: Componente
gw-prod, que enruta solicitudes de modelos de agentes internos. Responsable: equipo de plataforma. Origen aprobadogateway-releases; publicador registrado en la política de lanzamientos. Candidato 2.8.0, resumensha256:9f2c…41aa, recibido a las 11:02. Desplegado 2.7.4, resumensha256:51b0…07d3, sin cambios a las 11:06. La huella coincide; el origen es un espejo no aprobado; la identidad de constructor no se reconoce; no hay lanzamiento coincidente en el origen aprobado. Resúmenes abreviados para mostrarlos.- Acceso: Referencias de credenciales
cred-gw-p1,cred-gw-p2,cred-gw-p3. Lee tráfico de solicitudes y guarda claves de proveedores; no escribe en registros empresariales. El candidato agrega acceso saliente a un host no listado. Consecuencia del compromiso: exposición de credenciales e interceptación de solicitudes.- Qué hizo el agente: Falló su comprobación de verificación, que retuvo
pipe-7731a las 11:04. Puso al candidato en cuarentena, investigó el espejo y envió un hallazgo a la persona responsable con evidencia.- Decisión para la persona responsable: Si
gateway-releases-mirrores un origen legítimo. Hasta entonces el candidato permanece en cuarentena.
Ficha de confianza: acceso de proveedor alojado (ilustrativa)
- Procedencia: Host contratado
host-sup-a, que ejecutaapp-internal-01yapp-internal-02. Responsable: equipo de plataforma. El proveedor administra el despliegue. El agente comprobó la configuración exportadacfg-118el 2026-10-20 y revisó 90 días de avisos de cambios del proveedor; ninguno informó cambios en el almacenamiento de secretos. Estos registros no verifican de forma independiente el proceso de construcción del proveedor.- Acceso: Referencias
secret-app01-db,secret-app01-api,secret-app02-api. El proveedor almacena los secretos y los inyecta durante la ejecución. Alcance: la base de datos y las cuentas de proveedor que esos secretos desbloquean.- Qué hizo el agente: Mapeó los tres secretos a sus emisores y consumidores. Ensayó el reemplazo desde el emisor de
secret-app02-apien el entorno de preparación; el reemplazo tardó 12 minutos de principio a fin.- Decisión para la persona responsable: Ninguna por ahora. Prioridad alta por el alcance; el agente repite la revisión cuando el proveedor envíe su próximo aviso de cambio.
El agente lleva una ficha con este formato por componente. Usa la versión en blanco para definir lo que esperas que informe:
Ficha de confianza de software y proveedores (en blanco)
- Procedencia: Componente ___ · Uso de negocio ___ · Responsable ___ · Origen y publicador aprobados ___ · Versión y resumen candidatos ___ · Versión y resumen desplegados, comprobados a las ___ · Evidencia de firma, certificación y huella ___
- Acceso: IDs de credenciales ___ · Alcance de datos y acciones ___ · Sistemas accesibles ___ · Consecuencia del compromiso ___ · Cómo limitar o revocar ___
- Qué hizo el agente: Comprobaciones ejecutadas ___ · Discrepancias encontradas ___ · Retenciones y el sistema que las aplica ___ · Resultados de la investigación ___
- Decisión para la persona responsable: Pregunta ___ · Prioridad y fundamento ___ · Aún sin verificar ___ · Estado ___
Prepárate para el compromiso y la recuperación
Para los componentes importantes, el agente mantiene registrados la persona responsable de respuesta, los consumidores dependientes y la fuente de orientación vigente para la corrección. Si un proveedor anuncia un compromiso, el agente conserva la identidad y los registros del artefacto, retiene lanzamientos posteriores y obtiene el aviso específico. Luego gestiona cada credencial expuesta mediante la contención en el emisor y la recuperación del consumidor. Quitar un paquete por sí solo no establece la recuperación, porque los cambios persistentes pueden requerir limpieza adicional o una reconstrucción.
Empieza con una puerta de enlace o un conector y haz que el agente lo mapee desde el origen y el proveedor hasta el artefacto y el acceso. Agentes defensivos de IA muestra cómo configurar la comprobación de actualizaciones como una tarea comprobable.
En AgentShelf
Configura un agente para recopilar evidencia de lanzamientos, investigar discrepancias e informar a la persona responsable del componente. Tus sistemas de despliegue deben aplicar la retención. Consulta límites de confianza, o solicita agentes para conversar sobre un flujo de revisión de proveedores.