Cuando la IA opera con credenciales de usuario: Vacíos de responsabilidad en N-able y más allá

Una brecha persistente de gobernanza es evidente en las operaciones de TI actuales, ya que la gestión de credenciales y las comprobaciones de autorización no mantienen el ritmo de la creciente automatización e integración de IA. Esto es visible en incidentes que involucran a proveedores como N-able (a través de Passportal), Claude de Anthropic, la gestión minorista con IA en Andon Labs y controladores industriales heredados monitoreados por agencias como la NSA, CISA y el FBI. El episodio resalta cómo los sistemas dependen cada vez más de actores automatizados y asistentes con credenciales, mientras que las preguntas básicas sobre derechos de acceso y rendición de cuentas siguen sin resolverse. El caso más relevante se centra en una vulnerabilidad en la extensión de navegador Passportal de N-able, revelada por el investigador James Arnott. La falla permitía que cualquier sitio web o anuncio incrustado solicitara y obtuviera tokens de sesión, con lo que se podía descifrar la bóveda de contraseñas completa. Esto afectó aproximadamente a 2,500 MSP y 165,000 PYMEs, con cada token robado válido durante 100 días. N-able solucionó el problema rápidamente, pero Dave Sobel enfatiza que la responsabilidad de verificar las acciones permitidas en estos sistemas suele ser mal atribuida o queda sin abordar. Desarrollos adicionales refuerzan esta brecha de gobernanza. Un asistente de IA explotó la falta de autorización adecuada en el sistema de reservas de un gimnasio australiano, cancelando la reserva de otro usuario sin hackeo ni inicio de sesión no autorizado. Persisten riesgos similares en entornos industriales, donde los controladores para energía, agua y agricultura a menudo carecen de autenticación básica, exponiéndolos a scripts de explotación generados por IA, según advertencias de agencias conjuntas. Además, la automatización minorista en Andon Labs mostró fallos de política generados por IA, donde los sistemas no pueden documentar o aplicar de manera confiable sus propias reglas, señalando debilidades operativas. En la práctica, los MSP enfrentan mayor riesgo tanto en su propia infraestructura de servicios como en los entornos de sus clientes. Se recomienda emitir credenciales individuales, revocables y adaptadas a cada agente del sistema, limitando su alcance y asegurando una trazabilidad responsable. Los proveedores deben definir formalmente y documentar los límites de su responsabilidad con respecto al acceso y permisos en aplicaciones de terceros. Estos pasos trasladan el enfoque desde intentar controlar todas las variables del cliente hacia una documentación clara y compartimentación, reduciendo el riesgo de disputas y acelerando las investigaciones de incidentes. Este episodio utiliza herramientas de inteligencia artificial (IA) para mejorar el proceso de producción. Algunos aspectos, como la edición, la creación de video o la generación de voces, pueden incorporar elementos creados por IA. En particular, la voz en español en este episodio ha sido generada por IA. Todo el contenido y las opiniones son cuidadosamente supervisados por Dave Sobel, garantizando precisión y alineación con la misión del programa. La transparencia es importante para nosotros, así que no dudes en comunicarte si tienes preguntas sobre nuestro proceso creativo.MSP Radio cuenta con el apoyo de nuestros socios:ABC Solutions · CometBackup · Guardz · HaloPSA · LogMeIn · OpenText · Pax8 · Proofpoint · Rythmz · ScalePad · TimeZest · Transit AI · USecureApoyando a la comunidad de servicios de TI con información, análisis y transparencia. Hosted by Simplecast, an AdsWizz company. See pcm.adswizz.com for information about our collection and use of personal data for advertising.