Los navegadores de IA necesitan un nuevo modelo de seguridad
El navegador web lleva décadas realizando una tarea bastante sencilla. Muestra sitios web, almacena sesiones y contraseñas, descarga archivos y permite a los usuarios moverse entre servicios en línea. La inteligencia artificial está empezando a cambiar ese papel.
Un navegador equipado con un agente de IA puede leer páginas, comparar información, rellenar formularios, trabajar en varias pestañas e interactuar con servicios en los que el usuario ya ha iniciado sesión. Si se le da suficiente acceso, puede pasar de buscar un hotel a reservarlo, de leer una factura a introducir sus datos en un programa de contabilidad, o de revisar un correo electrónico a actualizar el expediente de un cliente.
Esa capacidad hace que la IA basada en el navegador sea inusualmente útil. También crea un problema de seguridad que los permisos convencionales del navegador nunca fueron diseñados para resolver.
La seguridad del software tradicional se pregunta en gran medida a qué puede acceder una aplicación. La seguridad agéntica también debe preguntarse qué puede decidir hacer el software con ese acceso.
El navegador de repente tiene autoridad
La mayoría de las personas ya le dan a su navegador acceso a una cantidad extraordinaria de información privada. Las cuentas de correo electrónico, el almacenamiento en la nube, los paneles de control de las empresas, los servicios de pago, las redes sociales y los gestores de contraseñas suelen encontrarse detrás de sesiones de navegación activas.
Hasta hace poco, el propio navegador rara vez decidía qué hacer dentro de ellos. La persona hacía clic en el botón.
Un agente de inteligencia artificial cambia esa relación porque puede interpretar una instrucción y traducirla en una secuencia de acciones. Una solicitud como “busca las facturas del mes pasado y organízalas” puede implicar buscar en el correo electrónico, abrir archivos adjuntos, descargar archivos, leer información financiera y colocar documentos en otra aplicación.
Cada acción individual puede parecer ordinaria. El problema de seguridad surge de la combinación.
Un empleado podría razonablemente tener acceso al correo electrónico y a una plataforma financiera y, al mismo tiempo, tener prohibido transferir cierta información entre ellos. Un agente de navegador puede poseer técnicamente acceso a ambos sistemas, por lo que las empresas necesitan controles que entiendan la diferencia entre el permiso para ver información y el permiso para actuar sobre ella.
Esa distinción marcará la siguiente etapa del despliegue de la IA empresarial.
La inyección de comandos se vuelve más peligrosa cuando la IA puede actuar
Los grandes modelos de lenguaje pueden ser manipulados por instrucciones incrustadas en el material que leen. Los investigadores de seguridad llaman a una forma de este problema inyección de instrucciones.
Con un chatbot convencional, una instrucción maliciosa oculta en una página web puede distorsionar una respuesta. El resultado puede ser molesto, engañoso o inseguro, dependiendo de la situación.
Un agente de navegador crea una superficie de ataque más amplia porque el modelo también puede poseer herramientas.
Imagina pedirle a un agente que busque proveedores. El sitio web de un proveedor contiene texto oculto diseñado para influir en los sistemas de inteligencia artificial. La instrucción le dice al agente que ignore su tarea anterior, recupere información de otra pestaña abierta y la envíe a través de un formulario.
Un agente debidamente asegurado debe rechazar la instrucción. Las empresas no pueden basar su modelo de seguridad únicamente en esa suposición.
Los desarrolladores de software han pasado décadas separando los datos de las instrucciones ejecutables por una buena razón. Los agentes de inteligencia artificial difuminan parcialmente esa frontera porque interpretan lenguaje natural de varias fuentes a la vez: el usuario, sitios web, documentos, interfaces de aplicaciones e interacciones previas.
Por lo tanto, el navegador debe tratar el contenido externo como entrada no confiable, incluso cuando el modelo de lenguaje considere que dicho contenido es persuasivo.
Los permisos deben volverse más específicos
Los permisos de software actuales suelen funcionar a nivel de aplicación. Un usuario otorga acceso a una cámara, un micrófono, una ubicación o una carpeta. Los administradores empresariales también pueden restringir sitios web, extensiones y el comportamiento de autenticación.
La navegación agéntica requiere un modelo más detallado.
Una empresa podría permitir que un agente de IA lea información de su CRM y, al mismo tiempo, impedirle que elimine registros. Podría permitir que un agente prepare un correo electrónico y exigir la aprobación humana antes de enviarlo. Los equipos financieros podrían permitir la extracción de facturas y bloquear los pagos. Los sistemas de adquisiciones podrían permitir búsquedas de productos sin autorizar pedidos.
Estas distincciones convierten el “acceso a la IA” en varios permisos separados.
Leer: el agente puede inspeccionar información.
Escribir: el agente puede crear o modificar información.
Comunicar: el agente puede enviar mensajes o enviar formularios.
Transaccionar el agente podrá realizar compras, pagos o compromisos contractuales.
Eliminar: el agente puede eliminar información o registros.
Autenticar el agente puede utilizar credenciales o acceder a otro servicio en nombre del usuario.
Las empresas probablemente necesitarán combinaciones de estos permisos en lugar de un único interruptor etiquetado como habilitado para IA.
Las acciones más sensibles pueden entonces activar un paso de aprobación. Un humano ve lo que el agente pretende hacer, qué cuenta planea usar y qué información saldrá del sistema antes de autorizar la acción.
Un buen diseño de seguridad hace que esas interrupciones sean selectivas. Exigir aprobación después de cada clic eliminaría gran parte de la eficiencia que hace atractivo al análisis agéntico. Permitir cada acción de manera automática otorgaría al software probabilístico una cantidad incómoda de autoridad.
La identidad crea otra complicación
Los agentes de navegación web también plantean una pregunta sorprendentemente básica: ¿quién realizó la acción?
Cuando un empleado actualiza manualmente el registro de un cliente, la pista de auditoría puede atribuir el cambio a dicho empleado. Cuando un agente de inteligencia artificial actúa a través de la sesión autenticada del empleado, es posible que el sistema siga registrando al empleado como el actor, a pesar de que fue el software el que seleccionó y ejecutó la acción.
Eso se vuelve difícil cuando los equipos investigan un error.
Los sistemas empresariales deberán distinguir entre las acciones realizadas directamente por una persona y las acciones delegadas a un agente. Los registros deben registrar al usuario iniciador, el sistema de inteligencia artificial, la instrucción que recibió, las herramientas a las que accedió y la acción que completó.
Sin esa información, las empresas pueden descubrir que han automatizado el trabajo más rápido de lo que han automatizado la rendición de cuentas.
El mismo principio se aplica a los agentes compartidos. Es posible que una empresa llegue a operar agentes que den servicio a un departamento en lugar de a un empleado individual. Esos sistemas requerirán sus propias identidades, permisos y registros de auditoría de la misma manera que ya lo hacen las cuentas de servicio.
Los navegadores de IA obligarán a las empresas a clasificar acciones
La forma más fácil de adoptar la IA en el navegador es centrarse en el modelo: qué tan preciso es, qué tan rápido funciona y si los empleados disfrutan usándolo.
Los equipos de seguridad deben examinar las acciones en su lugar.
Leer una página web pública conlleva poco riesgo organizativo. Leer un contrato interno conlleva más. Editar un registro de clientes añade otro nivel de exposición. Enviar información fuera de la compañía o comprometer dinero introduce una categoría completamente diferente.
Las empresas pueden clasificar esas acciones antes de decidir cuánta autonomía permitir.
El trabajo de bajo riesgo puede ejecutarse automáticamente. Las acciones de riesgo moderado pueden requerir un registro más estricto o destinos restringidos. Las acciones de alto riesgo pueden requerir la aprobación humana explícita o no estar disponibles para el agente.
Este enfoque también ayuda a las empresas a evitar un problema común con las nuevas tecnologías: imponer restricciones tan amplias que los empleados simplemente las evitan.
Un navegador de IA que no puede acceder a nada útil no se volverá más seguro. En su lugar, los empleados pueden copiar información confidencial en herramientas menos controladas. Los permisos granulares permiten a los equipos de seguridad proteger las acciones sensibles mientras dejan disponibles las funciones de productividad ordinarias.
El navegador podría convertirse en una de las interfaces más útiles de la inteligencia artificial
Las empresas de inteligencia artificial han pasado años intentando crear asistentes que se sitúen junto al software existente. Los agentes de navegador ofrecen otra vía porque gran parte del trabajo moderno ya ocurre dentro del navegador.
No necesitan que cada empresa reemplace su CRM, sistema de contabilidad, plataforma de viajes o software de proyectos. El agente puede funcionar a través de las interfaces que los empleados ya utilizan.
Eso convierte al navegador en un lugar inusualmente potente para la inteligencia artificial. También sitúa al agente cerca de credenciales, información de la empresa y sistemas capaces de producir consecuencias en el mundo real.
Por lo tanto, el navegador de IA exitoso necesitará más que un fuerte razonamiento. Requerirá permisos precisos, aprobaciones visibles, pistas de auditoría confiables y límites claros entre la información que el agente puede leer y las acciones que puede realizar.
El navegador pasó sus primeras décadas ayudando a la gente a navegar por la web.
Su próximo trabajo podría ser ayudar al software a navegar por la web por nosotros. La arquitectura de seguridad determinará cuánta libertad estamos dispuestos a darle.
