Actualmente, los agentes de inteligencia artificial forman parte de numerosos procesos y flujos de trabajo empresariales. Entre sus funciones se encuentran generar actualizaciones para los clientes, lanzar alertas, informar a otros empleados o coordinar procesos entre diferentes sistemas. De acuerdo con Proofpoint, empresa especializada en ciberseguridad para personas y agentes, muchas de estas tareas se realizan mediante el simple envío de correos electrónicos. Precisamente por tratarse de una acción aparentemente sencilla, los riesgos asociados pueden pasar fácilmente desapercibidos.
Cuando un agente de IA envía un correo electrónico dentro de un proceso empresarial, puede estar gestionando información sensible o protegida. Esta información puede incluir datos de clientes, información de empleados, datos financieros, documentación legal, fragmentos de código fuente o planes de negocio confidenciales. Si el mensaje se envía mediante una plataforma SaaS o a través de un proveedor externo que no dispone de unos controles de seguridad adecuados y homogéneos, la organización puede perder parte de su capacidad para supervisar y controlar esa información una vez que abandona sus sistemas.
Así lo explica Fernando Anaya, country manager de Proofpoint para España y Portugal, quien destaca que el problema se produce especialmente cuando la información protegida sale de los límites de la organización sin las medidas de seguridad necesarias.
Tradicionalmente, las estrategias de seguridad del correo electrónico se han centrado principalmente en proteger a las organizaciones frente a amenazas recibidas, como el phishing, el malware, el compromiso del correo electrónico empresarial (BEC) o el robo de cuentas. Estas medidas continúan siendo fundamentales, pero la utilización de agentes de IA introduce una nueva dimensión, ya que amplía el perímetro que debe protegerse.
Esto no quiere decir que los agentes de IA sean inseguros por naturaleza. El problema reside en que las empresas deben aplicarles los mismos controles de seguridad y supervisión que utilizarían con cualquier otro sistema autorizado para enviar correos electrónicos en su nombre.
Si no se establecen estas medidas, los mensajes enviados automáticamente por agentes de IA pueden generar diferentes tipos de riesgos. Entre ellos se encuentran la exposición excesiva de información confidencial, errores en el envío que hagan llegar los datos al destinatario equivocado, un uso inadecuado del cifrado, la utilización fraudulenta de dominios y posibles incumplimientos de las normativas de protección de datos y seguridad.
Cuando un correo que contiene información sensible termina en un buzón incorrecto, la organización tiene que reaccionar ante el incidente. Sin embargo, intentar recuperar posteriormente ese mensaje o la información que contiene no siempre resulta efectivo. Por este motivo, la estrategia más adecuada consiste en impedir que los mensajes potencialmente peligrosos se envíen o, como mínimo, garantizar que las medidas de protección correspondientes se apliquen automáticamente antes de que el correo llegue a su destinatario.
Para conseguirlo, es necesario disponer de mecanismos de gobernanza centralizada de los remitentes, controles sobre el contenido de los mensajes y sistemas adecuados de autenticación y gestión de la confianza.
Según Fernando Anaya, estas medidas adquirirán todavía más importancia a medida que los agentes de IA sean capaces de actuar de forma cada vez más autónoma y aumente la cantidad de correos electrónicos que generan. Mientras que una persona puede detenerse y comprobar un archivo antes de adjuntarlo a un correo, un agente de IA puede ejecutar automáticamente una misma instrucción una y otra vez y hacerlo a una velocidad mucho mayor.
A pesar de estos riesgos, las empresas no tienen por qué frenar la incorporación de la inteligencia artificial para reducir los problemas relacionados con el correo electrónico. Una alternativa es considerar a los agentes de IA como remitentes no humanos capaces de enviar grandes volúmenes de mensajes, por lo que deben estar sujetos a unas normas, límites y controles de seguridad claramente definidos.
Para mantener las ventajas de productividad que ofrecen estos agentes y, al mismo tiempo, reducir los riesgos asociados al correo electrónico, las organizaciones deberían adoptar varias medidas:
- Identificar y registrar los agentes de IA y las aplicaciones que tengan capacidad para enviar correos electrónicos, tanto dentro como fuera de la organización.
- Determinar qué información sensible pueden utilizar, así como los tipos de datos protegidos a los que tienen acceso y que podrían transmitir mediante correo electrónico.
- Centralizar el envío de los correos transaccionales y generados por agentes de IA mediante un servicio que permita gestionar la autenticación, registrar las actividades y aplicar las políticas de seguridad establecidas.
- Implementar mecanismos de prevención de pérdida de datos (DLP) y cifrado, teniendo en cuenta factores como el nivel de sensibilidad de la información, el dominio del destinatario y el contexto en el que se produce el envío.
- Supervisar de manera continua los remitentes y los envíos, comprobando las autorizaciones, la correcta configuración de los dominios, los patrones de entrega y el resultado de las diferentes políticas de seguridad.
