Hoy, Keyfactor ha formalizado oficialmente la adquisición de Cofide. Nos alegra dar la bienvenida a Matt Bates y al equipo de Cofide a Keyfactor, pero creo que lo más importante es lo que ha llevado a nuestras dos empresas a unirse en primer lugar.
Nos encontramos en un momento de transición importante en cuanto a la forma en que las empresas generan confianza digital.
La nube y DevOps ya han transformado la escala y la velocidad a las que interactúan las máquinas. Ahora, la IA está acelerando ese cambio. Las cargas de trabajo y los agentes de IA no se limitan a permanecer dentro de una sola aplicación o entorno. Se comunican entre servicios, invocan API, se desplazan entre nubes y dominios de confianza y, cada vez más, llevan a cabo acciones sin la intervención directa de una persona.
Sin embargo, seguimos protegiendo muchos de estos sistemas mediante un enfoque diseñado para un mundo muy diferente: otorgar una credencial a algo y confiar en quienquiera que la posea.
Pero ese modelo no se adapta a los objetivos que nos hemos marcado.
El sector está pasando de las credenciales a la identidad verificable criptográficamente.
La distinción entre poseer una credencial y demostrar la identidad puede parecer sutil, pero cada vez cobra más importancia.
Los secretos estáticos, los tokens de larga duración y las claves codificadas de forma fija demuestran que un sistema tiene acceso a una credencial. No demuestran necesariamente que el sistema que la presenta sea aquel al que estaba destinada dicha credencial. Si la credencial se copia o se roba, esa distinción desaparece por completo.
A medida que aumenta el número de cargas de trabajo, el problema se vuelve más difícil de controlar. Los agentes de IA complican aún más la situación, ya que estos sistemas pueden estar autorizados a iniciar acciones e interactuar con otros sistemas de forma autónoma.
No podemos tomar las prácticas de identidad que ya tienen dificultades a escala de la nube y replicarlas en poblaciones potencialmente enormes de agentes de IA.
En cambio, las cargas de trabajo y los agentes necesitan identidades que sean únicas, verificables criptográficamente, de corta duración y reguladas a lo largo de todo su ciclo de vida.
La buena noticia es que el sector ya ha logrado avances significativos hacia ese modelo.
Las normas ya existen. El reto consiste en ponerlas en práctica.
Los estándares abiertos, como SPIFFE, proporcionan al sector una base para establecer la identidad de las cargas de trabajo sin depender de claves secretas de larga duración.
Esto es importante porque no necesitamos otro modelo de identidad propio para cada nueva nube, plataforma o tipo de carga de trabajo. Necesitamos estándares que permitan que la confianza funcione en entornos cada vez más heterogéneos.
Pero hay una diferencia importante entre contar con la norma adecuada y lograr que sea viable para una gran empresa.
Ese es el problema que Cofide se ha propuesto resolver. Las empresas no funcionan como los hiperescaladores, que cuentan con recursos de ingeniería ilimitados dedicados a crear una infraestructura de identidad en torno a implementaciones de « open-source ». Disponen de pods de Kubernetes, máquinas virtuales, servidores físicos, aplicaciones sin servidor, múltiples nubes y entornos heredados que deben coexistir. La solución de Cofide ofrece una gestión de la identidad de las cargas de trabajo que protege las cargas de trabajo de las aplicaciones y los agentes de IA en cualquier entorno de nube.
Como explica Matt, esa complejidad no hace más que aumentar:
«Se está produciendo un aumento vertiginoso del número de aplicaciones y del número de réplicas de estas para dar respuesta a la escalabilidad. Y, por supuesto, en esta era de la inteligencia artificial ya estamos viendo la aparición de los agentes, y vamos a asistir a un aumento vertiginoso de los mismos».
Las normas proporcionan a esos entornos una base común. La oportunidad radica en complementar esa base con la automatización, la gobernanza, la observabilidad y la experiencia de los desarrolladores que las empresas necesitan para poder utilizarla realmente a gran escala.
Por qué Cofide encaja en el plano de control de confianza
Aquí es donde veo una afinidad natural entre Cofide y Keyfactor.
Hemos desarrollado el plano de control de confianza de « Keyfactor » partiendo de la idea de que las identidades de las máquinas y la criptografía no pueden seguir gestionándose como un conjunto de herramientas de seguridad inconexas.
Los certificados forman parte de esa infraestructura. También lo son las claves, los algoritmos y las bibliotecas criptográficas, la PKI, la firma y las políticas que regulan el uso de todos esos componentes.
El «Trust Control Plane» integra todos esos elementos en un sistema continuo para detectar, analizar, aprovisionar, orquestar y gestionar la confianza en toda la empresa.
Cofide amplía esa visión a las cargas de trabajo modernas y a la identidad de los agentes de IA.
Su tecnología se basa en estándares abiertos, como SPIFFE, OAuth y OIDC, y está diseñada para dotar a las cargas de trabajo de identidades únicas, de corta duración y verificadas criptográficamente. Esto abre el camino para extender la confianza a Kubernetes, a entornos híbridos y multinube, a las interacciones entre servicios y, en última instancia, a las interacciones entre agentes y entre agentes y herramientas, que cobrarán cada vez más importancia a medida que aumente la adopción de la IA.
Esa es una distinción importante. La identidad de la carga de trabajo no debería convertirse en otro «silo» de identidades aislado. Debería formar parte de la misma infraestructura de confianza que utilizan las organizaciones para comprender y gestionar las identidades de las máquinas y la criptografía en toda la empresa.
La IA hace que sea aún más urgente hacerlo bien
La nube y DevOps han generado un enorme crecimiento en el número de identidades de máquinas. La inteligencia artificial está acelerando aún más esa tendencia.
La cuestión no es simplemente el número de identidades que las organizaciones tendrán que gestionar. Los agentes de IA introducen una nueva clase de actores digitales capaces de acceder a los sistemas, llamar a las API, comunicarse con otros agentes y, lo que es más importante, llevar a cabo acciones en nombre de las organizaciones.
No podemos garantizar ese futuro repitiendo las prácticas del pasado.
Las claves codificadas de forma fija, los tokens OAuth de larga duración y las credenciales compartidas entre sistemas suponen un riesgo incluso en los entornos actuales. Aplicar el mismo modelo a agentes autónomos que operan a la velocidad de una máquina agrava ese riesgo.
Matt explica por qué la identidad en tiempo de ejecución es tan importante:
«No estás proporcionando por adelantado una clave o un token estático que tenga privilegios permanentes. En cambio, lo que haces es proporcionar esta credencial en tiempo de ejecución y te aseguras de que luego puedas utilizar esa identidad junto con alguna autorización para garantizar que el agente actúe tal y como esperas».
Matt se expresó en el mismo sentido durante una conversación con Dark Reading: «No podemos cometer los mismos errores con los agentes. Tenemos que asegurarnos de que nos basamos en estándares».
Ese es uno de los principios más importantes para la próxima generación de identidad de las máquinas.
Puede que la IA esté generando nuevos casos de uso, pero no deberíamos responder creando un conjunto totalmente nuevo de mecanismos de seguridad propios en torno a ellos. Debemos basarnos en estándares ya establecidos, utilizar la identidad criptográfica en lugar de secretos persistentes siempre que sea posible, automatizar los ciclos de vida de las identidades y establecer una gobernanza desde el principio.
La confianza debe formar parte de la infraestructura
La finalización de la adquisición de Cofide supone un hito importante, pero también marca el inicio de la siguiente fase de nuestro trabajo conjunto.
Las arquitecturas nativas de la nube seguirán evolucionando. Los agentes de inteligencia artificial serán cada vez más capaces, autónomos e interconectados. Y el número de identidades no humanas que las empresas deben proteger seguirá aumentando.
Para las organizaciones que adoptan la inteligencia artificial, esto supone una oportunidad para sentar las bases adecuadas desde el principio, en lugar de repetir prácticas de identidad que nunca se diseñaron para sistemas autónomos. Cada carga de trabajo y cada agente de inteligencia artificial debería poder demostrar quién es, operar con el nivel de acceso adecuado y contar con una identidad que pueda gestionarse a lo largo de todo su ciclo de vida.
Para ello se necesita algo más que otra solución puntual de identidad. Se necesitan estándares abiertos, una identidad verificada criptográficamente y un «plano de control de confianza» unificado capaz de gestionar la confianza entre máquinas, cargas de trabajo, aplicaciones e inteligencia artificial.
Ahora que Cofide forma parte de Keyfactor, estamos ampliando esa visión a una de las áreas emergentes más importantes de la infraestructura de confianza empresarial. A medida que la IA transforma lo que las máquinas son capaces de hacer, debemos asegurarnos de que la confianza esté integrada desde el principio.
Lee el comunicado de prensa completo | ¿Qué es la infraestructura de confianza?
