Identidad de agentes de IA: Okta plantea 3 preguntas el 2 de septiembre de 2026 — el producto de AppH ya las responde, sin plataforma dedicada
El 2 de septiembre de 2026, Security Boulevard publicó una columna de Okta/GuidePoint Security: los agentes de IA son una nueva clase de identidad que atraviesa la empresa sin los controles que ya existen para las personas — de ahí tres preguntas que pocas organizaciones saben responder: ¿dónde están mis agentes?, ¿a qué pueden conectarse?, ¿qué pueden hacer? En las grandes empresas, la respuesta pasa por una plataforma de identidad dedicada (Okta, en este caso). En AppH, las mismas tres respuestas ya existen — no como opción de pago, sino dentro del propio producto.
Según Ariel Zommer (Okta, Security Boulevard, 2 de septiembre de 2026), los agentes de IA se propagan por la empresa más rápido que cualquier ola tecnológica anterior, a menudo sin la responsabilidad que ya se exige a las personas y las aplicaciones. La columna cita un incidente real: una conexión OAuth comprometida entre una cuenta corporativa y una herramienta de IA de terceros abrió un camino hacia sistemas internos (claves API, tokens, variables de entorno) — no fue una falla de software, fue un problema de identidad. También cita un dato duro (Stanford SACR, marzo de 2026): el 53 % de los servidores MCP públicos usa secretos estáticos, y solo el 8,5 % implementa OAuth. La columna propone tres preguntas como base: ¿dónde están mis agentes?, ¿a qué pueden conectarse?, ¿qué pueden hacer? — y para la tercera, recomienda explícitamente controles humano-en-el-loop para acciones de alto impacto (cambiar un entorno de producción, acceder a datos regulados, iniciar una acción financiera).
La solución que propone la columna — una plataforma de identidad dedicada a agentes, con inventario, permisos cortos y revocables, flujos de aprobación, registros centralizados — es la respuesta correcta para una gran empresa que corre decenas de agentes de proveedores distintos. Pero construir o comprar esa plataforma está fuera del alcance de una pyme, que no tiene ni el equipo de seguridad ni el presupuesto para un proyecto de Okta dedicado. AppH responde a las mismas tres preguntas de otra forma: no con una capa de identidad separada que administrar, sino porque el producto ya viene con las respuestas integradas. ¿Dónde están mis agentes? — cada acción automatizada de AppH (un correo clasificado, un borrador de recordatorio, un cambio de estado) queda registrada en el mismo historial de auditoría que las acciones humanas, con un actor identificado, consultable módulo por módulo (panel de historial ya activo en más de diez verticales). ¿A qué pueden conectarse? — cada módulo tiene un alcance de datos acotado a su propio dominio (un agente que gestiona facturación no toca historiales clínicos), y las conexiones externas (webhooks, claves API) tienen secretos propios y rotables, con una alerta automática si una clave queda activa sin uso. ¿Qué pueden hacer? — es el clic de aprobación humana sobre toda acción con consecuencia real, ya cubierto en nuestra pieza de hoy sobre la columna de Forbes: el dinero que se mueve, una reserva cancelada, una comunicación que sale hacia un cliente, un dato sensible que cambia de manos.
A favor de AppH
- Las tres preguntas que la columna plantea como base de una estrategia de identidad agéntica — dónde, a qué, qué pueden hacer — ya tienen respuesta construida en AppH, sin que un cliente pyme tenga que evaluar ni comprar una plataforma de identidad aparte.
- La atribución por actor en el historial de auditoría (ya en producción en más de diez módulos) coincide exactamente con lo que la columna describe como el estándar a alcanzar: registros «atribuibles, auditables y accionables».
En contra / el límite honesto
- AppH no tiene un directorio formal de identidades de agente con propietario y estado de ciclo de vida declarados por agente — porque todos los agentes de AppH pertenecen al mismo producto, un caso más simple que la proliferación multi-proveedor que aborda la columna; el día en que AppH permita conectar agentes de terceros vía API, esa carencia se volvería real.
- No hay un «kill switch» para cortar de golpe el acceso de un agente específico en todos los sistemas conectados — lo más cercano que tiene AppH hoy es la alerta sobre una clave de API inactiva, no una revocación inmediata y centralizada.
Lo que llama la atención de esta columna no es la novedad del riesgo — la identidad mal gestionada es un problema de seguridad viejo — es la velocidad con la que los agentes de IA lo hacen reaparecer a una escala que pocos equipos de seguridad anticiparon. Para una gran empresa, la respuesta es un proyecto: evaluar, desplegar, administrar una plataforma de identidad dedicada. AppH parte de un principio distinto, más modesto pero igual de defendible: una pyme no tiene el tiempo ni el presupuesto para ese proyecto, así que las respuestas deben estar en el producto desde el primer día, no en una casilla para marcar después. No pretendemos cubrir todos los casos que cubre una plataforma como la que describe la columna — el directorio de agentes faltante y el kill switch son la prueba honesta de eso. Pero de las tres preguntas planteadas, ninguna queda sin respuesta en AppH: ya existe, y un humano sigue siendo el último paso antes de que ocurra algo caro de deshacer.
Verificado por un humano de AppH