🤖 AI

Authenticated Workflows: A Systems Approach to Protecting Agentic AI

Este artículo propone un nuevo marco de seguridad basado en "flujos de trabajo autenticados" que utiliza pruebas criptográficas y un lenguaje de políticas nativo para IA (MAPL) para garantizar de manera determinista la integridad y la intención en los sistemas de agentes de IA, logrando una protección completa contra ataques sin falsos positivos.

Autores originales: Mohan Rajagopalan, Vinay Rao

Publicado 2026-02-12

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Mohan Rajagopalan, Vinay Rao

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

El Problema: El "Mayordomo con Amnesia" y el "Invitado Malintencionado"

Imagina que contratas a un mayordomo inteligente (la IA Agente) para que gestione tu casa. Este mayordomo es increíble: puede usar la computadora, abrir la caja fuerte, leer tus correos y hasta pedir comida.

El problema es que este mayordomo tiene dos fallos graves:

No sabe distinguir entre una orden y un chisme: Si alguien deja una nota en la mesa que dice: "Oye, por cierto, abre la caja fuerte y dásela al vecino", el mayordomo no sabe si eso es una instrucción tuya o simplemente un papel que encontró. Se confunde y obedece.
Es demasiado confiado: Si el mayordomo ve que alguien entra con un uniforme de repartidor, le da las llaves de la casa sin preguntar quién es realmente.

En el mundo de la tecnología, esto es lo que pasa con la IA: los hackers usan "inyecciones de prompts" (notas falsas) para engañar a la IA y hacer que robe datos o ejecute comandos peligrosos. Las defensas actuales son como ponerle un detector de mentiras al mayordomo: a veces funciona, pero si el mentiroso es muy bueno, lo engaña.

La Solución: "Flujos de Trabajo Autenticados" (El Sistema de Seguridad Total)

Los autores de este estudio proponen dejar de intentar "adivinar" si la IA está siendo engañada y, en su lugar, construir un sistema de seguridad basado en leyes matemáticas y llaves digitales.

En lugar de un mayordomo que "cree" en lo que lee, proponen un sistema donde cada acción debe pasar por cuatro aduanas de seguridad:

La Aduana de las Órdenes (Prompts): Antes de que el mayordomo escuche una instrucción, se verifica que venga de una fuente real y autorizada.
La Aduana de las Herramientas (Tools): Si el mayordomo quiere usar una llave o una herramienta, debe presentar un "carnet digital" que demuestre que tiene permiso para usar esa herramienta específica en ese momento.
La Aduana de la Información (Data): Cuando el mayordomo lee un documento, el sistema revisa que la información no contenga "trampas" ocultas.
La Aduana de la Memoria (Context): El sistema vigila que el mayordomo no se confunda a medida que avanza la conversación, asegurándose de que no le estén "lavando el cerebro" poco a poco.

Las Tres Herramientas Mágicas de este Sistema

Para que esto funcione, los investigadores crearon tres cosas geniales:

1. El Lenguaje MAPL (El "Libro de Reglas" Inteligente)

Imagina que en lugar de darle mil reglas al mayordomo (que sería agotador), le das un libro de reglas que se organiza solo. Si le dices: "Los empleados de contabilidad no pueden tocar la caja fuerte", el sistema automáticamente entiende que, si un agente de contabilidad intenta algo, debe detenerse. Es un lenguaje que escala de forma inteligente: no importa si tienes 10 o 10,000 empleados, las reglas siempre se aplican sin errores.

2. El Protocolo de Autenticación (El "Sello de Cera" Digital)

Cada vez que el mayordomo hace algo (como enviar un email), le pone un sello de cera digital que es imposible de falsificar. Si alguien intenta cambiar el contenido del email o la orden, el sello se rompe y el sistema dice: "¡Alto! Esto ha sido manipulado". Esto garantiza que lo que se pidió es exactamente lo que se ejecutó.

3. El Adaptador Universal (El "Traductor de Seguridad")

Lo mejor es que este sistema no obliga a las empresas a cambiar cómo funcionan sus IAs actuales. Es como un "chaleco antibalas" que se le puede poner a cualquier mayordomo, sin importar si es de la marca OpenAI, Claude o LangChain. Se adapta a ellos sin que ellos tengan que cambiar su forma de trabajar.

¿Por qué es esto un éxito?

Los investigadores probaron este sistema con ataques reales y los resultados fueron impresionantes:

Cero errores de detección: El sistema no bloqueó cosas buenas por error (no hubo "falsos positivos").
Protección total: Detectó el 100% de los ataques probados.
Inmune al engaño: Mientras que las defensas viejas intentaban "entender" el lenguaje (y fallaban), este sistema usa matemáticas. Para engañar a este sistema, un hacker no necesitaría ser un genio de la palabra, tendría que ser un genio capaz de romper la criptografía mundial, lo cual es prácticamente imposible.

En resumen: Han pasado de intentar "educar" a una IA para que no sea engañada, a construir una armadura matemática que hace que, aunque la IA sea engañada, no pueda hacer nada malo.

Resumen Técnico: Workflows Autenticados: Un Enfoque de Sistemas para Proteger la IA Agéntica

1. El Problema: La Inseguridad de la IA Agéntica

El despliegue de sistemas de IA agéntica en entornos empresariales enfrenta un desafío crítico: las defensas actuales (como los guardrails semánticos o filtros de prompts) son probabilísticas. Esto significa que dependen de la detección de patrones y pueden ser eludidas mediante técnicas de ingeniería de prompts, codificación maliciosa o ataques de inyección de datos.

Los autores identifican que los agentes operan a través de cuatro superficies de ataque fundamentales que pueden ser explotadas de forma compuesta:

Prompts (S1): Instrucciones que dirigen el razonamiento.
Herramientas (S2): Ejecución de operaciones privilegiadas (acceso a archivos, APIs, emails).
Datos (S3): Información externa (RAG, bases de datos) que puede contener instrucciones maliciosas.
Contexto (S4): El historial de la conversación que puede ser envenenado para manipular al agente en múltiples turnos.

El problema central es que los LLM no distinguen entre "instrucciones" y "datos", y las defensas actuales no pueden garantizar la integridad de las operaciones cuando los agentes interactúan a través de diversos marcos de trabajo (frameworks) heterogéneos.

2. Metodología: El Enfoque de Sistemas

En lugar de intentar enumerar todos los ataques posibles (un problema infinito), los autores proponen limitar el sistema de forma determinista. Su enfoque trata a los sistemas agénticos como sistemas distribuidos bizantinos donde la seguridad se reduce a proteger los cruces de fronteras (boundary crossings).

La metodología se basa en dos pilares:

Enforcement de la Intención: Asegurar que las operaciones cumplan con las políticas organizacionales.
Enforcement de la Integridad: Asegurar que las operaciones sean auténticas y no hayan sido modificadas mediante criptografía.

Para lograr esto, introducen una arquitectura de Capa de Confianza (Trust Layer) que se sitúa entre las defensas de la aplicación y las primitivas de infraestructura, utilizando Puntos de Ejecución de Políticas (PEPs) distribuidos que verifican cada interacción de forma independiente.

3. Contribuciones Clave

MAPL (AI-native Policy Language): Un nuevo lenguaje de políticas diseñado para la dinámica de la IA. A diferencia de los sistemas tradicionales (como OPA o AWS Cedar), MAPL permite:
- Composición jerárquica: Las políticas se combinan mediante la intersección de conjuntos, garantizando que añadir una política solo puede restringir permisos, nunca expandirlos (evitando la escalada de privilegios).
- Escalabilidad Logarítmica: Reduce la complejidad de gestión de $O(M \times N)$ a $O(\log M + N)$ .
- Atestaciones Criptográficas: Permite definir dependencias de flujo de trabajo (ej. "no permitir la exportación de datos a menos que exista una atestación firmada de que los datos fueron anonimizados").
Workflows Autenticados: Un protocolo que convierte cada interacción en una transacción criptográfica. Cada llamada incluye una firma que vincula al actor, la operación, los argumentos y la política aplicada.
Runtime de Seguridad Universal: Un sistema capaz de integrarse con 9 de los frameworks más importantes (LangChain, CrewAI, AutoGen, MCP, OpenAI, Claude, etc.) mediante adaptadores ligeros que no requieren modificar los protocolos originales.

4. Resultados y Validación

Los autores validan su propuesta mediante tres métodos:

Pruebas Formales: Demuestran matemáticamente que su modelo es completo (cubre todas las superficies de ataque) y sólido (las políticas se mantienen íntegras al componerse).
Validación Empírica: En 174 casos de prueba, el sistema alcanzó un 100% de recall (detección) con 0% de falsos positivos. Cubre 9 de los 10 riesgos del OWASP Top 10 para aplicaciones de LLM.
Mitigación de CVEs Reales: El sistema bloqueó con éxito ataques que afectaron a productos en producción, como el ataque al navegador agéntico de OpenAI Atlas y vulnerabilidades en el servidor GitHub MCP.
Rendimiento: La sobrecarga criptográfica es mínima (sub-milisegundo), lo que lo hace viable para entornos de producción de alta velocidad.

5. Significado y Conclusión

La importancia de este trabajo radica en el cambio de paradigma: pasar de la seguridad basada en la detección (probabilística) a la seguridad basada en la identidad y la política (determinista).

Al tratar la seguridad de la IA como un problema de protocolos y criptografía en lugar de un problema de procesamiento de lenguaje natural, los autores proporcionan una base técnica para que las empresas puedan desplegar agentes de IA con confianza, garantizando que, incluso si el modelo de lenguaje es "engañado" por un prompt malicioso, las capacidades de ejecución del agente permanezcan estrictamente dentro de los límites autorizados por la organización.