Shadow AI solía significar que los empleados pegaban cosas que no deberían en ChatGPT. Ahora significa algo más grande: empleados que crean aplicaciones completas con IA, las conectan a sistemas de producción y las publican en Internet abierta. Sin seguridad ni TI al tanto.
El artefacto pasó de un mensaje a un producto. La superficie de riesgo se movió con él.
En Los constructores de sombras informe (consíguelo aquí), una nueva investigación a nivel de categoría cubierta en mayo por Axios, WIRED y VentureBeat, Red Access identificó más de 380.000 activos web de acceso público en las principales plataformas de codificación de vibraciones.
Aproximadamente 5.000 parecían corporativos. Más de 2.000 de ellos tenían datos corporativos, operativos o personales confidenciales, ubicados en la web abierta, implementados sin controles de acceso básicos y, a menudo, otorgando acceso de administrador de forma predeterminada a cualquiera que alcanzara la URL. Seis continentes. Se examina cada industria. No se requiere explotación.
Dentro de las organizaciones, pasando sus auditorías mientras estas exposiciones estaban activas.
La nueva Shadow AI no se trata de indicaciones. Se trata de productos.
La codificación Vibe, el espacio más amplio de las plataformas de desarrollo impulsadas por IA donde cualquiera puede crear una aplicación funcional describiendo lo que quiere, ha comprimido lo que solía llevar meses a los equipos de ingeniería en algo que un no desarrollador puede enviar antes del almuerzo.
Un gerente de marketing crea un rastreador de campañas y lo conecta a la herramienta de BI donde se encuentran los números reales. Un gerente de operaciones crea un formulario de admisión de proveedores y lo conecta al sistema de emisión de boletos. Un equipo de finanzas crea un panel de preparación de la junta directiva y ingresa en él los datos de las facturas antes del viernes. Esas aplicaciones se conectan a sistemas de producción autorizados (CRM, ERP, herramientas de emisión de tickets, plataformas de BI) y con frecuencia se publican en la Internet abierta, con cualquier control de acceso que el creador haya configurado. A menudo, ninguno.
Las personas que hacen esto no son maliciosas. Son empleados competentes que resuelven problemas reales más rápido que su organización y hacen exactamente lo que las plataformas les invitaron a hacer. Las plataformas tampoco son villanas: ofrecen lo que pidió su audiencia original. Lo que no ha seguido el ritmo son las barreras técnicas y de comportamiento que rigen lo que sucede después de la construcción.
Esto no es Shadow IT en el antiguo sentido. La TI en la sombra estaba limitada: cuando un equipo compraba una cuenta de Trello con una tarjeta corporativa sin decírselo a nadie, los datos se guardaban dentro de un proveedor de SaaS no autorizado, pero al menos existían la identidad, los registros de auditoría y una superficie de gobernanza. Constructores de sombras invertir eso. La aplicación está diseñada a medida, los datos se cargan a medida, las integraciones son conexiones directas a sistemas de registro de producción y el artefacto a menudo se publica en Internet abierto. La plataforma debajo puede ser auditada; la aplicación construida sobre él no lo es. Está el constructor, la plataforma y la URL. ¿ÉL? Principalmente no en la habitación.
Por qué una pila de seguridad madura todavía no tiene esto en cuenta
El reflejo de un CISO que lee los números anteriores es comprobar la pila. EDR está en ejecución. DLP está configurado. CASB tiene licencia. Se han implementado firewall y SSE. Algunas organizaciones han agregado un navegador empresarial. Cada una de esas herramientas está haciendo aquello para lo que fue diseñada. La categoría se encuentra en los espacios entre ellos.
EDR ve el proceso del navegador, no la compilación que contiene. Para un agente de punto final, un Shadow Builder que utiliza una plataforma de codificación de vibración parece una actividad de navegador normal y no maliciosa: la misma forma de telemetría que alguien que lee las noticias. Cuando un EDR moderno o un navegador empresarial ve más profundamente, solo lo hace en los dispositivos que posee la organización y dentro de los navegadores que administra. Las computadoras portátiles personales, las máquinas de contratistas, los dispositivos BYOD y las pestañas del navegador personal son invisibles por definición.
DLP mira canales enumerados. Puede señalar a un usuario que pega datos regulados en un chat de IA conocido. No puede ver una aplicación codificada por vibración que se conecta mediante programación a una herramienta de BI aprobada a través de API, moviendo datos de nube a nube, evitando físicamente el punto final por completo.
CASB se creó para Shadow IT, para proveedores de SaaS con identidades reconocibles. No puede distinguir fácilmente una población ilimitada de aplicaciones personalizadas alojadas en los subdominios de una plataforma de codificación de vibración de la plataforma misma. Toda la población tiende a registrarse como un proveedor de SaaS aprobado.
Firewall y SSE ven el tráfico hacia el dominio de la plataforma pero carecen del contexto de aplicación como objeto comercial. Y la mayoría de las implementaciones de SASE/SSE son parciales; incluso las más maduras abandonan el problema del dispositivo no administrado no resuelto.
Ninguna de estas herramientas está fallando. La categoría simplemente se ubica en los espacios que la arquitectura existente deja entre capas, generando fragmentos de señal que nunca se ensamblan en una imagen única y gobernable.
Donde la visibilidad realmente tiene que vivir
La codificación vibe de un extremo a otro es un evento de sesión web. La compilación es un evento del navegador. La concesión de OAuth que vincula la nueva aplicación a un sistema empresarial autorizado es un evento del navegador. Los datos sobre los que se basa la aplicación se mueven a lo largo de la sesión. La implementación es un evento del navegador: la acción de publicación que convierte la compilación en una aplicación activa en una URL pública es un clic dentro de la misma pestaña donde sucedió todo lo demás.
Cada paso ocurre en la capa de sesión. No adyacente a él. Dentro de él.
Por lo tanto, un control ubicado en la capa de sesión ve toda la ruta de construcción, no un fragmento de ella. La plataforma utilizada. Los sistemas corporativos conectados a él y a través de qué mecanismo. Los datos entran y salen. El evento de publicación que coloca la aplicación en Internet abierto. Atribuible a una persona específica y a una instancia de aplicación específica, independientemente del navegador utilizado o de la ruta de red que tomó el tráfico. Y, lo que es más importante, independientemente de si el dispositivo es una computadora portátil corporativa o la máquina personal de un contratista.
Que hacer esta semana
Cuatro movimientos. Ninguno de ellos es una compra de tecnología.
Comience con el descubrimiento. Pregunte directamente a los empleados qué han construido. La mayoría de los Shadow Builders están haciendo un trabajo útil y no ocultan nada; el encuadre importa. Un mensaje para toda la fuerza laboral: Si ha creado una herramienta utilizando una plataforma de desarrollo de IA, cuéntenosla. No estamos auditando. estamos inventariando – llega más lejos en la primera pasada que un memorando de política o un despliegue de herramientas.
Luego mapear. Para cada aplicación que aparezca, capture a qué sistemas corporativos está conectada, cómo (OAuth, clave API, carga manual – diferentes pistas de auditoría) y si es accesible públicamente. La accesibilidad al público es la señal más viable a corto plazo.
Establecer un camino sancionado. Dale a Shadow Builders un lugar para decírtelo. Nombre las plataformas aprobadas, defina categorías de datos aceptables y establezca un estándar mínimo de autenticación. Menor fricción que la alternativa, que es que no te dicen nada.
Y luego acepte que el trabajo no es un inventario único. Se siguen creando aplicaciones codificadas en Vibe; La imagen que construyas este mes estará incompleta el próximo mes. La postura madura es un descubrimiento continuo en la capa donde realmente ocurre la actividad.
La categoría seguirá madurando. Las plataformas seguirán recalibrando los valores predeterminados. Ninguna de esas adaptaciones está terminada. La exposición existe en la mayoría de las empresas en este momento.
Red Access es la plataforma de seguridad de capa de sesión sin agentes diseñada exactamente para esto: visibilidad y gobernanza de nivel SSE en la sesión misma, en cualquier navegador y dispositivo, incluidos los no administrados. Implementable en horas. Solicita tu auditoría gratuita.
¿Encontró interesante este artículo?
Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en
noticias de google,
Gorjeo y
LinkedIn para leer más contenido exclusivo que publicamos.
