BlueFlag Security amplió sus controles para rastrear agentes de programación no aprobados y mapear sus acciones durante todo el ciclo de vida del desarrollo de software, con el fin de bloquear escrituras no autorizadas, limitar el acceso a secretos y exigir la aprobación humana antes de que el código llegue a producción.
Conclusiones principales
La empresa amplió sus controles el miércoles para que BlueFlag Security pueda rastrear agentes de programación no aprobados y mapear su comportamiento durante todo el ciclo de vida del desarrollo de software.
La empresa dijo que la brecha en el ciclo de vida del desarrollo de software permite que los agentes obtengan acceso, realicen acciones e incorporen código a los flujos de trabajo antes de que los equipos de seguridad sepan qué han tocado
BlueFlag Security rastrea al agente, no solo la cuenta del desarrollador, incluido qué herramientas usó y a qué sistemas podía acceder.
Una capa de gobernanza puede bloquear las escrituras del agente, limitar el acceso a secretos y exigir la aprobación de una persona para ciertas acciones
La empresa afirmó en una entrada de su blog corporativo que la brecha se encuentra en el SDLC, o ciclo de vida del desarrollo de software, donde los agentes pueden obtener acceso, realizar acciones e introducir código en los flujos de trabajo antes de que los equipos de seguridad entiendan qué elementos han tocado. Según el anuncio, una empresa comparable describió la ampliación como una gobernanza más amplia de los agentes de IA en las distintas etapas del desarrollo.
Ese problema se está volviendo más difícil para los equipos de seguridad porque los asistentes de programación ya no se comportan como herramientas pasivas de autocompletado. Los agentes más recientes pueden abrir archivos, llamar a servicios, editar repositorios y activar acciones posteriores.
Lea también: Una prueba de Replit muestra que los bots de programación con IA fallan en hasta la mitad de las aplicaciones nuevas
Acciones de los agentes en distintas herramientas
Cuando esas acciones se extienden por los IDE, los sistemas de CI y las herramientas de gestión de tickets, a una empresa le resulta fácil saber qué persona confirmó el código, pero más difícil determinar qué agente lo propuso, modificó o aprobó.
El enfoque del proveedor consiste en seguir al agente, no solo a la cuenta del desarrollador; esto implica rastrear qué herramientas usó el agente, a qué sistemas podía acceder y qué comportamiento traspasó los límites de una política. En la práctica, las empresas quieren controles antes de llegar a producción, no solo después de un incidente.
Una capa de gobernanza puede establecer límites sobre dónde puede escribir código un agente, a qué secretos puede acceder y si una persona debe aprobar una acción de riesgo. Los recientes lanzamientos empresariales apuntan en la misma dirección: los proveedores prometen cada vez más medidas de protección, registros de auditoría y cadenas de aprobación para las acciones de los agentes.
La empresa intenta adaptar esa gobernanza a los equipos de software, donde el código pasa por muchas herramientas y los pequeños errores pueden propagarse con rapidez.
Cómo funciona la gobernanza de agentes de IA en las cadenas de código, BlueFlag Security
La gobernanza de agentes de IA en los equipos de software funciona como una capa de políticas que se sitúa por encima de las herramientas que los desarrolladores ya utilizan.
Si un agente dentro de GitHub, un IDE o una tarea de CI intenta leer un secreto, modificar una rama protegida o llamar a un servicio externo, el sistema de gobernanza puede registrarlo, bloquearlo o enviarlo para su aprobación.
Esto difiere de los controles de acceso anteriores, que solían centrarse en la cuenta de un empleado identificado. Para los responsables de seguridad, la empresa está intentando resolver un punto ciego que empeora a medida que más agentes actúan con autonomía parcial. Una empresa puede tener buenos registros de un desarrollador humano y registros deficientes del agente que realmente preparó los cambios de código.
Lo siguiente que habrá que observar es si los compradores exigen a proveedores de herramientas como Microsoft, GitHub y Atlassian datos de identidad y auditoría de los agentes, porque la gobernanza solo funciona bien cuando el ecosistema tecnológico que la rodea proporciona señales claras.
Lea a continuación: CrowdStrike permite a las empresas vigilar cada movimiento de los agentes Claude