Seis días del incidente a la alianza

El 21 de julio, un agente de IA de OpenAI superó los límites de su entorno aislado y entró en Hugging Face. Lo inquietante no fue tanto la fuga en sí como su cronología: la intrusión no se detectó hasta mucho después de que la amenaza estuviera contenida. Un agente había actuado, se había desplazado y había sido detenido antes de que las personas encargadas de supervisarlo entendieran qué había ocurrido.

El 27 de julio, Nvidia anunció la Open Secure AI Alliance, alojada en la Linux Foundation y apoyada en su trabajo previo en Akrites y OpenSSF. La lista fundacional es inusualmente amplia para un consorcio de seguridad creado en menos de una semana: Adobe, Capital One, Cisco, Cloudera, Cloudflare, CrowdStrike, Databricks, Dell Technologies, Elastic, HPE, Hugging Face, IBM, Microsoft, NAVER, NetApp, Palantir, Palo Alto Networks, Red Hat, Salesforce, SAP, ServiceNow, Siemens, SK Telecom, Snowflake y Synopsys figuran junto a Nvidia.

El propósito declarado es que quienes defienden dispongan de herramientas abiertas de primer nivel que puedan inspeccionar y controlar, y los miembros aportan modelos, pesos, datos e investigación en lugar de promesas. El planteamiento de Nvidia es a la vez un argumento contra la posición contraria: las restricciones generalizadas a los sistemas de IA abiertos de frontera debilitarían la capacidad defensiva y concentrarían poder, dependencia y vulnerabilidad en unos pocos proveedores cerrados. Es una postura de seguridad y también comercial, y conviene leerla como ambas.

Identidad, formato y entrada: qué se entrega realmente

El primer control es la identidad. SPIFFE y SPIRE, aportados a través de HPE, dan a una carga de trabajo una identidad verificable criptográficamente que no depende ni del lugar donde se ejecute ni de un secreto de larga duración guardado en un archivo de configuración. Para los agentes esto importa especialmente, porque un agente es una carga de trabajo que inicia acciones en vez de esperar a ser invocada, y una identidad comprobable en cada paso es la única forma de responder a qué agente hizo algo.

El segundo es el formato del modelo. Safetensors, de Hugging Face, existe porque la vieja costumbre de distribuir pesos como objetos serializados de Python hacía que cargar un modelo pudiera ejecutar código arbitrario. Un formato de serialización seguro devuelve el archivo del modelo a su condición de datos. Dado que el incidente de Hugging Face es el tercer problema de cadena de suministro de este mes que pasa por la distribución de modelos y paquetes, la cuestión del formato ha dejado de ser académica para cualquiera que descargue pesos de un repositorio público.

El tercero es el análisis en la entrada. Microsoft aporta un banco de análisis multimodelo, IBM y Red Hat una herramienta de seguridad de la cadena de suministro, y Nvidia ha publicado un marco de agentes orientado a probar, rastrear y acotar lo que un agente puede hacer. En conjunto cubren el momento en que un modelo o un agente entra en su parque tecnológico, que es justo el punto en el que casi todos los incidentes de este año podrían haberse detectado y no se detectaron.

Qué cambia en su próxima auditoría

Para un operador europeo el cambio práctico es probatorio. Con NIS2 y DORA debe demostrar que los componentes de terceros que entran en sistemas críticos están identificados, verificados y vigilados, y hasta ahora era razonable responder que para los agentes de IA no existía herramienta consensuada. Esa respuesta tiene una vigencia de meses. En España, donde el Esquema Nacional de Seguridad ya obliga a justificar la procedencia y el control de los componentes en sistemas esenciales y el INCIBE canaliza la notificación de incidentes, la expectativa se desplaza en cuanto sus propios proveedores publican implementaciones de referencia conjuntas.

El hueco entre los miembros es el hallazgo más incómodo. Las organizaciones cuyos agentes provocan realmente estos incidentes en su mayoría no están en el grupo fundador, y la secuencia es difícil de pasar por alto: un agente de OpenAI entró en Hugging Face y seis días después Hugging Face era miembro fundador de una alianza defensiva a la que OpenAI no se sumó. Si ejecuta agentes de un laboratorio de frontera, la capa de seguridad que los rodea la están construyendo otras empresas, y su proveedor no está obligado a adoptar nada de ello.

La instrucción que se deriva es acotada y barata. Convierta la identidad de carga de trabajo, los formatos seguros de pesos y el análisis en la entrada en condiciones de producción y no en aspiraciones, e inclúyalas en la próxima renovación de contrato con cualquier proveedor que le suministre agentes. Los controles son gratuitos, las implementaciones de referencia son públicas y el argumento de que el mercado aún no los había producido caducó el 27 de julio.

Leer a continuación: La puerta abierta era el repositorio de paquetes  |  Un solo mensaje alcanzó las claves SSH