Protege la empresa de agentes en Google Cloud

Las principales preocupaciones que citan las empresas son la exposición de datos sensibles (52%) y el cumplimiento de reglamentaciones (50%) (Fuente: Cloud Security Alliance, diciembre de 2025). Sin embargo, la transición empresarial a la IA de agentes autónoma introduce nuevos vectores importantes:

• El tiempo medio para aprovechar vulnerabilidades se redujo de manera considerable a menos de siete días, lo que significa que las vulnerabilidades de día cero se aprovechan sistemáticamente antes de que se publiquen los parches de software (fuente: Informe M-Trends de Mandiant).
• Las identidades de Workload Identity no humanas ahora superan 82 veces a las identidades humanas en los entornos de nube modernos (fuente: Google Cloud Next 2026).
• El 42% de los agentes de IA empresariales activos actualmente tienen privilegios sensibles y excesivos (Fuente: Google Cloud Next 2026).
• Para defenderse de estos ataques a la velocidad de las máquinas, se debe proteger toda la pila de IA (infraestructura, datos, modelos y agentes autónomos) de forma simultánea.

El uso de IA no autorizado ocurre cuando los desarrolladores o las unidades de negocios implementan modelos no autorizados, APIs externas o habilidades para agentes de terceros sin la revisión de TI:

• Se sabe que más del 15% de las habilidades para agentes disponibles en mercados públicos son maliciosas (fuente: Google Cloud Next 2026).
• El 68% de las organizaciones ejecutan modelos autoalojados integrados en software de terceros, a menudo sin darse cuenta (fuente: Wiz, State of AI in the Cloud 2026).
• Para detectar el uso de IA no autorizado, las organizaciones usan la Wiz AI-APP, que se conecta a través de una API en 15 minutos para generar una lista de materiales de IA (AI-BOM) dinámica, junto con Gemini, que proporciona un Agent Registry centralizado para catalogar y administrar todos los agentes activos, los servidores de MCP personalizados y las herramientas externas.

No. Si bien la escasez de habilidades es un desafío reconocido, las organizaciones con una gobernanza de la IA formal tienen 3 veces más probabilidades de capacitar al personal en herramientas de seguridad de IA (fuente: Cloud Security Alliance, diciembre de 2025), y los equipos de seguridad ahora lideran la protección de la IA en el 53% de las organizaciones (fuente: Cloud Security Alliance, diciembre de 2025). Google Cloud traslada la seguridad directamente a la estructura de la plataforma: las configuraciones básicas se automatizan a través del plano de bases empresarial, las interacciones del entorno de ejecución se rigen de forma nativa por Model Armor y los agentes autónomos de búsqueda y corrección como CodeMender y Wiz Green Agent prueban y generan parches de código idiomáticos directamente en los flujos de trabajo de los desarrolladores.

Para proteger los agentes autónomos, es necesario ir más allá de las cuentas de servicio estáticas. Debido a que las identidades no humanas superan a las humanas en un 82% y el 42% de los agentes activos poseen privilegios excesivamente permisivos (fuente: Google Cloud Next 2026), Google Cloud establece una pila de seguridad centrada en la identidad:

• Agent Identity: Es un tipo de entidad dedicado y de primera clase, distinto de los usuarios humanos, que aprovisiona credenciales de entorno de ejecución criptográficas, con certificación sólida y vinculadas al ciclo de vida.
• Controles de privilegio mínimo: Las capacidades se restringen con Privileged Access Manager (PAM) para el acceso justo a tiempo (JIT), lo que elimina los privilegios permanentes.
• Límite de acceso de la entidad (PAB): Impone límites de recursos estrictos y de protección para restringir el radio del impacto máximo de las identidades de los agentes en ejecución.

El Secure AI Framework (SAIF) es la arquitectura conceptual de Google para la implementación segura y responsable de la IA. Traduce los principios de seguridad de confianza cero en sistemas de IA, ya que exige la procedencia de compilación de nivel 3 de SLSA validada a través de la Autorización Binaria, verificaciones automatizadas de políticas como código en Cloud Build y la detección continua de amenazas. En entornos de agentes, el SAIF se pone en funcionamiento a través del ciclo de vida de 4 etapas: Arquitectura, Inventario, Intercepción y Defensa (fuente: libro electrónico Secure AI Innovation, capítulo 6).

El Protocolo de contexto del modelo (MCP) es un estándar abierto que permite que los agentes de IA autónomos se conecten a fuentes de datos externas, herramientas empresariales y APIs empresariales. Sin embargo, las integraciones del MCP personalizadas no administradas introducen extremos riesgosos y no verificados en la producción. Google Cloud protege las herramientas de agentes a través de los servidores de MCP administrados de Google Cloud (como el servidor de MCP para BigQuery). Con esto, se estandariza la forma en que los agentes interactúan con las bases de datos corporativas, aplicando permisos de IAM estrictamente definidos y auditables, y reemplazando los wrappers de API personalizados por conexiones endurecidas y administradas por la empresa (Fuente: Google Cloud Next 2026).

La filtración de sesiones se produce en entornos multiusuario o multiagente cuando el contexto de una conversación privada, los tokens de usuario o los datos empresariales sensibles de la sesión de un usuario se filtran de forma involuntaria a la de otro. Google Cloud elimina la filtración de sesiones a través del Kit de desarrollo de agentes (ADK) (fuente: libro electrónico Secure AI Innovation, capítulo 2):

• Aislamiento de usuarios: El ADK aplica límites estrictos de usuarios y aislamiento de ejecución con primitivas nativas de user_id y session_id.
• Segregación de credenciales: Los tokens de autenticación downstream se aíslan para que un agente no pueda transferir credenciales o el estado de la conversación entre distintas sesiones de usuario.

Sí. Las organizaciones siguen estrategias multimodelo y ejecutan un promedio de 2.6 modelos diferentes (fuente: Cloud Security Alliance, diciembre de 2025). Google Cloud admite la administración multimodelo con Gemini como un plano de control de ejecución centralizado. Las protecciones unificadas de entorno de ejecución, que incluyen Model Armor para la limpieza de instrucciones y las políticas de gobernanza semánticas, se aplican de manera coherente en los modelos de Gemini propios, de código abierto y de terceros. Para los entornos de múltiples nubes (incluidos AWS Bedrock, Databricks y código abierto no administrado), el Wiz Security Graph identifica las vulnerabilidades y las rutas de ataque en todos los proveedores de servicios en la nube (fuente: Google Cloud Next 2026).

No. CodeMender se diseñó con una arquitectura de ejecución local que prioriza la privacidad (fuente: libro electrónico Secure AI Innovation, capítulo 4):

• Procesamiento de CLI local: El motor de análisis de CodeMender opera a través de una interfaz de línea de comandos local directamente dentro del entorno seguro del desarrollador.
• Zona de pruebas aislada: Las compilaciones de aplicaciones y las verificaciones de exploits activos se ejecutan en una zona de pruebas aislada en tu propia infraestructura.
• Sin entrenamiento de modelos: Tu código fuente propio y tu propiedad intelectual permanecen estrictamente protegidos y nunca se usan para entrenar modelos de base de Google. Los desarrolladores mantienen una supervisión completa a través de flujos de trabajo estándar de IDE/CLI y puertas de aprobación con intervención humana (HITL) antes de que se combine cualquier parche de código.

Para ejecutar una lógica empresarial de alto riesgo sin exponer la infraestructura principal, las empresas usan la arquitectura de referencia Bring Your Own Container (BYOC):

• Zona de pruebas de contenedores: Los agentes autónomos de alto riesgo (como los de inventario o logística) se implementan en contenedores aislados en Cloud Run.
• Separación estricta de permisos: Los permisos de infraestructura en el momento de la implementación están estrictamente separados de los permisos de ejecución en el entorno de ejecución.
• Puertas con intervención humana (HITL): El Kit de desarrollo de agentes (ADK) introduce momentos de pausa programados en los que las acciones de alto riesgo (como iniciar APIs de entrega o desembolsos financieros) requieren la aprobación explícita de un humano antes de su ejecución.

Google Cloud aplica una solución de entorno de ejecución con doble protección para limpiar las cargas útiles sin agregar latencia:

1. Control de acceso (límites de IAM): Se aplica de forma nativa en Agent Gateway con Identity-Aware Proxy (IAP) para verificar de forma criptográfica los documentos de identidad digitales de los emisores antes de enrutar las conexiones.
2. Control de intent (límites semánticos): Model Armor funciona como un proxy intercalado que filtra las interacciones de los usuarios, los agentes y los modelos en tiempo real para neutralizar las inyecciones de instrucciones, evitar los jailbreaks y ocultar la información de identificación personal sensible. En la capa de aplicación, el Kit de desarrollo de agentes (ADK) aplica la validación de entradas (como BeforeToolCallback) para detener las inyecciones de SQL indirectas en las tablas de BigQuery.

Para evitar la filtración de datos, se requiere una defensa en profundidad en las capas de red, aplicación y modelo:

• Topologías privadas: Las cargas de trabajo de IA se ejecutan en VPC compartidas administradas de forma centralizada y aisladas por Controles del servicio de VPC (VPC-SC), lo que crea un macroperímetro alrededor de todo el ecosistema de agentes.
• Limpieza intercalada: Model Armor limpia y oculta automáticamente los datos sensibles de los clientes y la información de identificación personal de las entradas de instrucciones y los resultados del modelo.
• Autenticación sin tokens: El administrador de autenticación de Agent Identity se encarga de los protocolos de enlace de OAuth downstream en nombre de los usuarios, pasando los tokens de forma segura sin exponer las credenciales sin procesar al agente.
• Confidential Computing: Protege los datos en uso encriptando la memoria durante el procesamiento activo del modelo.