Por qué los permisos de mínimo privilegio superan a la ingeniería de prompts para la seguridad de los agentes de IA

Otorgar permisos innecesarios a un agente de soporte de IA crea riesgos predecibles, como lo demostraron recientes pruebas en las que un modelo de lenguaje más económico emitió repetidamente reembolsos incorrectos. El estudio revela que las restricciones arquitectónicas, específicamente los controles de acceso de mínimo privilegio, proporcionan la única red de seguridad fiable contra los errores del agente. Este enfoque garantiza que, incluso si el modelo falla al razonar correctamente, carezca de la autoridad para ejecutar comandos dañinos.

Qué sucedió

En un experimento controlado que involucró el procesamiento de facturas de clientes, se asignó a un agente de IA impulsado por Claude Haiku 4.5 la tarea de gestionar tickets de soporte. El agente encontró un registro que mostraba un cargo fallido donde no había salido dinero de la cuenta del cliente. A pesar de estos datos claros, el agente reembolsó la cantidad igualmente. Repitió este error cinco veces más, resultando en seis acciones financieras consecutivas incorrectas. En contraste, el más avanzado Claude Sonnet 5 identificó correctamente los seis casos límite sin cometer errores.

El investigador encontró dos posibles soluciones de software: añadir un paso de verificación al prompt del sistema o cambiar al modelo más inteligente. Sin embargo, ambas soluciones resultaron frágiles. Los prompts del sistema pueden recortarse o reescribirse accidentalmente durante los experimentos, eliminando las salvaguardas de seguridad sin previo aviso. De manera similar, los equipos de operaciones a menudo dirigen el tráfico hacia modelos más baratos para reducir los costos de inferencia, lo cual revertiría instantáneamente las ganancias de seguridad proporcionadas por el modelo más inteligente. El único control que permaneció efectivo independientemente de la elección del modelo o los cambios en el prompt fue denegar completamente al agente el permiso billing:refund.

Cómo funciona

El mecanismo central depende de limitar las credenciales a la tarea específica en lugar del rol general del agente. Las cuentas de servicio tradicionales reciben roles estáticos basados en descripciones de puesto, pero los agentes de IA realizan diversas tareas que cambian con cada invocación. Un rol estático a menudo otorga muchas más permisos de los que requiere una sola tarea, creando un gran radio de impacto si el agente comete un error. Al emitir ámbitos (scopes) que expiran cuando finaliza la ejecución, el sistema asegura que el agente mantenga solo la autoridad mínima necesaria para esa operación específica.

Para medir este riesgo, el estudio introdujo un "factor de sobre-alcance", calculado dividiendo la unión de todos los ámbitos ejercidos entre todas las tareas por los ámbitos medianos necesarios por tarea. En la suite de pruebas, este factor alcanzó 11.0, lo que significa que el agente llevaba, en promedio, once veces más superficie de permisos de la necesaria. Las credenciales limitadas por tarea redujeron significativamente esta exposición, manteniendo solo una quinceava parte de las credenciales en comparación con una concesión amplia, mientras mantenían tasas completas de finalización de tareas.

Detalles clave

• El entorno de prueba incluía 30 ámbitos en nueve dominios, con 13 ámbitos capaces de modificar o exfiltrar estado.
• Claude Haiku 4.5 ejecutó seis reembolsos dañinos cuando se le dieron permisos amplios, mientras que Claude Sonnet 5 detectó los seis casos límite.
• Los permisos limitados por tarea lograron una finalización de tareas de 20/20 para ambos modelos con una sobrecarga insignificante de llamadas a la API.
• La escalación de permisos Just-In-Time (JIT) logró una seguridad similar pero aumentó las llamadas a la API aproximadamente un 80% debido al descubrimiento en tiempo de ejecución.
• El aprovisionamiento basado en roles tuvo un rendimiento deficiente, completando solo la mitad de las tareas mientras mantenía 8.5 veces más credenciales que el alcance por tarea.
• Los registros de auditoría que rastreaban intentos permitidos y denegados sirvieron como artefactos de seguridad primarios, verificando la integridad de la ejecución.

Por qué importa

Para los ingenieros que construyen productos de IA, esto destaca que la capacidad del modelo no puede servir como un control de seguridad principal. Usted no es dueño del ciclo de vida del modelo, y las decisiones de optimización de costos pueden degradar silenciosamente sus garantías de seguridad. Confiar en la ingeniería de prompts es igualmente riesgoso porque los prompts derivan con el tiempo. Si un desarrollador elimina una instrucción de seguridad para ahorrar tokens o simplificar la lógica, el agente pierde su salvaguarda sin provocar ningún error del sistema.

Los permisos arquitectónicos proporcionan una defensa duradera que sobrevive a los cambios organizacionales y al intercambio de modelos. Cuando un agente carece de la autoridad para realizar una acción destructiva, no puede ejecutar el error sin importar cuán defectuoso sea su razonamiento. Esto desplaza la carga de seguridad del comportamiento probabilístico del modelo al control de acceso determinista, asegurando que los agentes bien comportados no ejecuten instrucciones defectuosas a velocidad de máquina sin supervisión humana.

Lo que puede hacer

• Analice una semana de tráfico de agentes en producción para calcular la relación entre los ámbitos totales utilizados frente a los ámbitos medianos por tarea.
• Limite las credenciales a la ejecución específica de la tarea.
• Utilice registros de auditoría para verificar la integridad de la ejecución y detectar intentos de escalamiento de privilegios.