MÓDULO EN DESARROLLO — LISTA DE ESPERA
Control de acceso para agentes de IA e identidades no humanas
Este módulo está en desarrollo. Publicamos el diseño y abrimos lista de espera para operadores críticos que quieran co-diseñarlo. El problema que ataca ya existe: un agente que consulta un histórico, abre un ticket o pide un dato a un sistema de operación suele hacerlo con la credencial de una persona. Sin identidad propia, sin permisos acotados y sin un registro que se pueda separar del de su creador, nadie puede responder qué hizo el agente y qué hizo la persona.
Las identidades no humanas ya son mayoría. Los controles, no.
109 identidades de máquina por cada humana
Según el informe Identity Security Landscape 2026, hay 109 identidades de máquina por cada identidad humana. Cada una es una llave que alguien creó y que casi nadie revisa (fuente: helpnetsecurity.com, mayo de 2026).
Solo 34 % aplica los mismos controles
Según el informe AI Agents at Work 2026 de Okta, solo el 34 % de las organizaciones aplica a los agentes de IA los mismos controles de identidad que aplica a las personas. Los otros dos tercios los tratan como scripts (fuente: okta.com, 2026).
El abuso de identidad ya es un riesgo top 10
El OWASP Top 10 for Agentic Applications 2026 lista ASI03, Identity & Privilege Abuse. El Agentic Trust Framework de la CSA (febrero de 2026) y la guía de CISA y sus socios sobre IA agéntica en infraestructura crítica (2026) apuntan al mismo control: identidad y privilegio por agente (fuente: genai.owasp.org, cloudsecurityalliance.org, industrialcyber.co).
Identidad por agente, con dueño humano
Estamos diseñando un tipo de identidad para agentes y servicios: nombre, propósito, sistema que lo ejecuta y una persona responsable, igual que una credencial de contratista. ISO/IEC 27001:2022 A.5.16 y A.8.5 ya tratan la gestión de identidades y la autenticación segura sin distinguir si detrás hay una persona.
Permisos acotados: least agency
El plan es que cada agente reciba permisos por activo, por acción y por ventana de tiempo, en vez de heredar la llave maestra de quien lo creó. Es el mismo principio de mínimo privilegio, llevado a la capacidad de actuar. NIST CSF 2.0 nombra explícitamente “users, services, and hardware” en PR.AA-01 y PR.AA-03.
El mismo expediente que las puertas
Cada acción de un agente quedará registrada donde ya viven las aperturas de puerta: qué pidió, con qué identidad, bajo qué permiso y qué ocurrió. Un solo expediente para mostrarle al delegado de ciberseguridad, al Encargado CIP y al DPO.
LISTA DE ESPERA — AGENTES DE IA
Entrar a la lista de espera
El módulo de identidades no humanas está en desarrollo. Déjanos tus datos y te escribimos cuando haya algo que probar, no antes.
Preguntas frecuentes
¿Está disponible hoy? +
No. Es un módulo en desarrollo. Publicamos el diseño y abrimos una lista de espera; no lo vendemos, no lo cobramos y no lo incluimos en ninguna propuesta como si existiera. Cuando haya algo que probar, avisamos primero a quienes estén en la lista.
¿Para qué sirve la lista de espera? +
Para co-diseñarlo. Queremos entender qué agentes ya están corriendo dentro de operadores críticos, con qué credenciales y contra qué sistemas, antes de decidir el modelo de permisos. Quien entra a la lista participa en esas conversaciones y tiene prioridad en el piloto.
¿Y mientras tanto? +
El control de acceso físico y digital de Octoberus ya está en producción: puertas, zonas, permisos con vencimiento, revocación inmediata y evidencia exportable. Si tienes agentes o servicios accediendo hoy a tus sistemas, lo primero es inventariarlos y ponerles un dueño humano. Eso no requiere esperar a ningún módulo.