Cisco adquiere Astrix Security: cerrando brechas en identidad no humana para agentes de IA

ARTÍCULO—

Introducción

En 2024, el 76% de las organizaciones reportaron dificultades para implementar controles de seguridad sobre agentes de IA, según el AI Readiness Index de Cisco. Este dato refleja un problema concreto: mientras los equipos de DevOps y SRE despliegan cada vez más agentes autónomos para automatizar tareas, los modelos tradicionales de Zero Trust no logran cubrir las particularidades de estas identidades no humanas (NHI, por sus siglas en inglés). Tokens OAuth robados, claves API expuestas y cuentas de servicio sin rotación se convierten en vectores de ataque cuando son utilizadas por agentes de IA para escalar privilegios o exfiltrar datos.

Astrix Security, startup israelí con cinco años de experiencia en este nicho, desarrolló tecnología para descubrir, clasificar y mitigar riesgos asociados a NHI. Su adquisición por parte de Cisco —anunciada en mayo de 2024— refuerza la estrategia del gigante tecnológico de extender el modelo Zero Trust más allá de usuarios humanos, hacia este nuevo «fuerza laboral agentica». La integración promete resolver problemas como la falta de visibilidad en el tráfico de agentes, la gestión de privilegios excesivos y la respuesta automatizada ante comportamientos maliciosos.

Qué ocurrió

El 14 de mayo de 2024, Cisco anunció oficialmente su intención de adquirir Astrix Security Ltd., una empresa especializada en seguridad para identidades no humanas. El acuerdo, cuyos términos no fueron revelados, busca integrar las capacidades de Astrix —especialmente en detección de tokens OAuth comprometidos y claves API— con el ecosistema de seguridad de Cisco, incluyendo Cisco Identity Intelligence, Secure Access y Duo Identity and Access Management.

Astrix Security destaca en tres áreas clave:

1. Descubrimiento de identidades no humanas: Escaneo automatizado de cuentas de servicio, tokens de OAuth y claves API en entornos cloud, on-premise y híbridos.
2. Gobernanza de privilegios: Detección de permisos excesivos asignados a agentes de IA o servicios automatizados.
3. Protección en tiempo real: Monitoreo continuo de comportamientos anómalos en identidades no humanas, como accesos fuera de horario laboral o transferencias masivas de datos.

Cisco planea integrar estas funcionalidades en su arquitectura Zero Trust Access, permitiendo a los equipos:

• Autenticar y autorizar agentes de IA antes de que accedan a recursos críticos.
• Detectar y responder a compromisos de identidades no humanas en tiempo real.
• Correlacionar eventos de NHI con logs de Splunk (adquirido por Cisco en 2023) para análisis forense automatizado.

Impacto para DevOps / Infraestructura / Cloud / Seguridad

Para equipos de DevOps e Infraestructura

Los equipos de DevOps enfrentan un desafío creciente: gestionar identidades no humanas en entornos dinámicos. Según datos de SUSE, el 68% de las brechas de seguridad en entornos Kubernetes están vinculadas a cuentas de servicio mal configuradas o tokens expuestos. La adquisición de Astrix Security permite:

• Reducir el riesgo de expansiones de privilegios: Astrix detecta cuentas de servicio con permisos excesivos vinculadas a agentes de IA, evitando que escalen privilegios como ocurrió en el incidente de Uber en 2017 (CVE-2017-16939), donde un atacante usó un token AWS comprometido para acceder a bases de datos de usuarios.
• Auditoría automatizada de claves API: En entornos multi-cloud, las claves API suelen rotarse manualmente o no rotarse nunca. Astrix automatiza este proceso, reduciendo la ventana de exposición. Por ejemplo, en PostgreSQL 15, los tokens de autenticación pueden configurarse con un tiempo de vida limitado, pero en la práctica muchos equipos los dejan sin rotación por meses.
• Integración con pipelines de CI/CD: Los equipos DevOps pueden incorporar el escaneo de NHI en sus flujos de trabajo, como parte de la fase de compliance previo a despliegue. Esto mitiga riesgos como el ataque a SolarWinds en 2020, donde un token comprometido permitió la distribución de malware a través de actualizaciones de software.

Para equipos de Seguridad (SOC/SRE)

Para los equipos de seguridad, el mayor impacto es la reducción del tiempo de detección (MTTD) y respuesta (MTTR) ante compromisos de identidades no humanas. Astrix Security aporta:

• Correlación de eventos entre capas: Cisco Secure Access ya monitorea tráfico a nivel de red, pero ahora puede correlacionar eventos de NHI con logs de Splunk para identificar patrones como accesos simultáneos desde múltiples regiones geográficas.
• Protección en tiempo de ejecución: La tecnología de Astrix permite detectar comportamientos anómalos en agentes de IA, como solicitudes de datos sensibles fuera de contexto. Por ejemplo, un agente que normalmente consulta registros de transacciones podría ser bloqueado si intenta acceder a información de RR.HH.
• Cumplimiento normativo: La visibilidad sobre NHI ayuda a cumplir con regulaciones como NIST SP 800-207 (Zero Trust) o ISO/IEC 27001, que exigen control sobre todas las identidades que acceden a recursos críticos.

Para entornos Cloud

En entornos cloud, las identidades no humanas son especialmente riesgosas:

• AWS: Las cuentas de servicio con roles IAM mal configurados son el vector principal de ataques como el incidente de Capital One en 2019 (CVE-2019-11477), donde un token de AWS permitió el acceso a datos de 100 millones de clientes.
• Azure: Los Managed Identities de Azure AD pueden ser comprometidos si no se rotan los tokens. Astrix detecta tokens expirados o con permisos excesivos.
• GCP: Las claves de servicio de GCP suelen almacenarse en repositorios GitHub o en variables de entorno sin cifrar. Astrix escanea estos repositorios y alerta sobre claves expuestas.

Detalles técnicos

Tecnologías clave en la adquisición

Astrix Security se centra en tres componentes técnicos principales:

1. Motor de descubrimiento de NHI:

– Detecta:

– Tokens de OAuth 2.0 expuestos (usados por agentes de IA para autenticarse).

– Claves API en repositorios como GitHub, GitLab o Bitbucket.

– Cuentas de servicio en Kubernetes, Docker o servicios serverless.

– Ejemplo: Un agente de IA que usa un token de GitHub para clonar repositorios podría ser detectado si el token no está vinculado a un fine-grained permission (como read:repo).

1. Módulo de gobernanza de privilegios:

– Detecta roles con permisos excesivos (ej.: una cuenta de servicio con permisos de admin en AWS IAM).

– Integración con AWS IAM: Astrix puede recomendar políticas de IAM basadas en el principio de least privilege, como las que ofrece AWS IAM Access Analyzer.

1. Sistema de protección en tiempo real:

– Accesos fuera de horario laboral.

– Solicitudes de datos sensibles (ej.: acceso a información de empleados).

– Transferencias masivas de datos a destinos no autorizados.

– Tecnología: Usa machine learning para establecer perfiles de comportamiento normal y detectar desviaciones. Por ejemplo, si un agente de IA que suele consultar registros de ventas comienza a acceder a bases de datos de clientes, el sistema lo alerta.

Integración con Cisco Security

La adquisición se integra con los siguientes componentes de Cisco:

• Formato de tokens JWT: Los tokens JWT (JSON Web Tokens) usados por agentes de IA suelen almacenarse en variables de entorno o en archivos de configuración. Astrix escanea estos tokens y alerta si están expirados o tienen permisos excesivos.

Riesgos mitigados

La adquisición aborda los siguientes vectores de ataque comunes:

Para equipos de Seguridad (SOC/SRE)

1. Actualizar Cisco Secure Access:

   # Verificar versión actual
   show version | grep Cisco\ Secure\ Access
   # Actualizar a la versión 5.4 o superior
   sudo apt upgrade cisco-secure-access
   

– Configuración mínima:

     # Ejemplo de configuración en Cisco Secure Access para NHI
     zero-trust:
       non-human-identities:
         enabled: true
         scan-interval: 3600  # Escaneo cada hora
         alert-on-anomaly: true
     

1. Habilitar integración con Splunk:

   # Instalar el add-on de Cisco para Splunk
   splunk install app cisco-identity-intelligence -auth admin:password
   

– Configurar alertas:

     index=cisco_identity sourcetype=cisco:identity:nhi
     | eval is_anomaly=case(match(message, "excessive_privilege"), 1, 1, 0)
     | where is_anomaly=1
     

1. Auditar permisos de cuentas de servicio:

     aws accessanalyzer analyze-path --analyzer-name my-analyzer --path-arn arn:aws:iam::123456789012:root
     

Para equipos de DevOps

1. Integrar Astrix en pipelines de CI/CD:

   # Ejemplo en GitHub Actions
   - name: Scan NHI
     uses: astrix-security/[email protected]
     with:
       api-key: ${{ secrets.ASTRIX_API_KEY }}
       scan-target: "."
       alert-on-anomaly: true
   

1. Rotar claves API automáticamente:

     # Rotar una clave API en AWS
     aws secretsmanager rotate-secret --secret-id my-api-key
     

1. Configurar permisos de least privilege:

     apiVersion: v1
     kind: ServiceAccount
     metadata:
       name: my-agent
       annotations:
         astrix.security/auto-discover: "true"
     

Para equipos de Cloud

1. Configurar alertas en entornos multi-cloud:

     {
       "eventName": "AssumeRole",
       "errorCode": "AccessDenied",
       "userIdentity": {
         "type": "AssumedRole",
         "arn": "arn:aws:iam::123456789012:role/my-agent-role"
       }
     }
     

– Azure Monitor:

     AuditLogs
     | where OperationName == "Add service principal"
     | where Result == "Failure"
     

1. Validar tokens JWT:

     import jwt
     token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
     try:
         payload = jwt.decode(token, "secret", algorithms=["HS256"])
     except jwt.ExpiredSignatureError:
         print("Token expirado")
     

Conclusión

La adquisición de Astrix Security por parte de Cisco marca un hito en la evolución del modelo Zero Trust: la extensión de sus principios a identidades no humanas, especialmente agentes de IA. Este movimiento aborda una brecha crítica identificada por el AI Readiness Index de Cisco 2024, donde solo el 24% de las organizaciones puede controlar acciones de agentes con guardrails adecuados.

Para los equipos técnicos, el desafío ya no es solo proteger usuarios humanos, sino también las identidades que operan a «velocidad de máquina». La integración de Astrix Security en el ecosistema de Cisco —desde Cisco Secure Access hasta Splunk— proporciona visibilidad y control en tiempo real sobre tokens OAuth, claves API y cuentas de servicio, reduciendo el riesgo de expansiones de privilegios y compromisos de identidades no humanas.

El mensaje clave es claro: en un entorno donde los agentes de IA ya no son una promesa futura, sino una realidad en expansión, la seguridad debe evolucionar para cubrir este nuevo «fuerza laboral». Cisco está dando un paso concreto en esa dirección, pero la implementación exitosa dependerá de la adopción proactiva por parte de los equipos de DevOps, Infraestructura y Seguridad.

FIN