Dos anuncios, un mismo día, idéntico mensaje

El 27 de julio más de treinta proveedores llevaron a código abierto los controles de seguridad esenciales para agentes bajo la Linux Foundation, y la pieza de identidad de cargas de trabajo de ese paquete fueron SPIFFE y SPIRE. Adoptar el estándar que decide qué puede llegar a ser un agente de inteligencia artificial se volvió gratuito esa mañana. Por la tarde, Keyfactor anunció su intención de adquirir Cofide, una compañía británica levantada precisamente sobre esos estándares y cuyo equipo entero son seis personas. No se revelaron las condiciones económicas, y el equipo y la tecnología se incorporan de inmediato.

Por qué importa: los dos hechos parecen contradictorios y no lo son. Uno convirtió la especificación en un bien público. El otro puso precio a la capacidad de operarla. Leídos juntos en la misma jornada, responden a una pregunta que los propietarios se hacen desde que los agentes empezaron a aparecer en entornos productivos: si el control se estandariza, ¿desaparece el problema? No desaparece. Solo cambia de línea presupuestaria.

Qué hace realmente Cofide

Cofide se describe como una plataforma de identidad basada en estándares abiertos que protege cargas de trabajo de aplicaciones y agentes de inteligencia artificial en cualquier entorno de nube. En la práctica sustituye los secretos estáticos, es decir, las claves de API, los tokens y las credenciales de cuentas de servicio de larga vida que se acumulan en todo parque tecnológico, por identidades criptográficas efímeras que la carga de trabajo lleva consigo automáticamente. Se apoya en SPIFFE y SPIRE para la emisión de identidad y en OAuth y OIDC para el intercambio de credenciales. Para los agentes emite una identidad verificada del agente y a la vez preserva la identidad del usuario mediante intercambio de tokens entre fronteras de servicio.

La parte que cuenta para los agentes: un agente de inteligencia artificial actúa por iniciativa propia, invoca interfaces externas y cruza fronteras de confianza con regularidad. Una credencial estática no puede expresar quién pidió la acción, solo qué clave se utilizó. Separar la identidad propia del agente de la autoridad delegada de la persona por la que actúa es la diferencia entre un rastro de auditoría que nombra a un ser humano y otro que nombra un secreto compartido.

Gratis de adoptar no es gratis de operar

El director de producto y tecnología de Keyfactor, Gün Akkor, formuló la tesis con la mayor claridad en el anuncio: los clientes se atascan al asegurar sus cargas de trabajo porque es operativamente difícil, no porque la tecnología se quede corta. Es un proveedor describiendo su propio mercado con honestidad, y resulta ser además la lectura correcta de los dos anuncios del día. El cuello de botella nunca fue la especificación. El cuello de botella es emitir una identidad a cada carga de trabajo, renovarla en ciclos muy cortos, revocarla cuando la carga desaparece y producir evidencia de que todo eso ocurrió.

La consecuencia para un presupuesto: cuando un control se convierte en estándar abierto, el coste de licencia tiende a cero y el coste operativo no se mueve en absoluto. Un equipo que lee un estándar gratuito como un control gratuito financiará la prueba piloto y no la operación. Los proveedores están comprando la operación, porque ahí reside el ingreso duradero, y la compran a quienes ya la han hecho en lugar de construirla.

Veintiún días después de mil millones de dólares

Keyfactor captó más de mil millones de dólares de Summit Partners el 6 de julio. Veintiún días más tarde, lo primero visible que hizo con un balance de ese tamaño fue comprar una compañía de seis empleados. Merece la pena detenerse ahí. Nada en un equipo de seis personas sugiere código escaso; las implementaciones de una especificación abierta no son escasas por definición. Lo escaso es el número de personas que han operado identidad de cargas de trabajo en un entorno productivo y saben por dónde se rompe.

Ahora bien: una adquisición tan pequeña es también opcionalidad barata para un comprador del tamaño de Keyfactor, y sería erróneo leerla como un veredicto meditado sobre el mercado. El fundador, Matthew Bates, cofundó antes Jetstack, que Venafi adquirió en marzo de 2020, de modo que es la segunda salida de la misma persona en la misma capa. Lo destacable no es el precio. Es que la capacidad en identidad de máquinas sigue siendo absorbida por un puñado de proveedores de certificados en lugar de crecer hasta formar compañías independientes.

Qué poner en el presupuesto del año que viene

Tres líneas, en este orden. Primera, un inventario: cuántas identidades no humanas existen en su parque, cuántas conservan credenciales permanentes y cuántas no se han revisado en el último año. No se financia un programa de rotación contra una cifra que no se tiene. Segunda, el coste de operación: alguien es responsable con nombre y apellidos de la emisión, la renovación y la revocación, y si hoy no es nadie, tampoco lo será después del piloto. Tercera, la evidencia: NIS2 espera control de accesos y gestión de vulnerabilidades documentados, y la identidad efímera produce ese registro de forma continua mientras que los secretos estáticos no producen ninguno.

En resumen: que el estándar se abriera eliminó su excusa para esperar, no su obligación de dotarlo de recursos. Si dentro de doce meses un auditor pregunta cómo demostró su identidad un agente de su parque, la respuesta saldrá de lo que usted financió este año. Una especificación que no cuesta nada adoptar no es lo mismo que un control que no cuesta nada sostener.

Leer a continuación: Un solo mensaje alcanzó las claves SSH  |  Una IA de prueba hackeó una empresa real para copiar