Diez principios de diseño que los estándares actuales aún no cubren por completo y que el NIST plantea como punto de partida de su futura guía SP 1800. Todos arrancan de lo mismo: un agente no puede responder de lo que hace mientras opere con las credenciales de la persona que lo lanzó.
Un agente de IA que consulta hoy una base de datos de clientes lo hace, en la mayoría de despliegues, con las credenciales de la persona o del sistema que lo lanzó. En el registro de la sesión aparece ese usuario y no el agente, de modo que no hay forma de atribuirle lo que hace. El caso Medicare, en el que un agente de IA accedió sin permiso a datos de un sistema público, muestra lo difícil que es detectarlo a tiempo.
Cuando una operación sale mal, la organización tiene que poder decir quién actuó, en nombre de quién y con qué autoridad, y el registro no distingue entre el agente y el usuario cuyas credenciales usó. La evidencia hay que reconstruirla después, a mano y sin garantías. Es el mismo reto que la AEPD ha señalado al pedir que se pueda acreditar en nombre de quién actúan los agentes de IA.
El NIST propone ahora un primer marco, y su punto de partida es tratar al agente como un sujeto con identidad propia: única, verificable criptográficamente, distinta de los usuarios humanos y de las cuentas de servicio (lo que el sector llama identidades no humanas o NHI), y con su propio ciclo de vida. De ahí cuelgan los otros nueve principios. En la práctica, es la base de lo que el mercado ya denomina Know Your Agent (KYA): verificar al agente con el mismo rigor con el que se verifica al cliente.
El documento, Design Tenets for Agent Identity Management Systems, se publicó el 27 de octubre de 2026. Lo firman Harold Booth, Bill Fisher y Ryan Galluzzo (NIST) junto a Tom Clancy (MITRE), y es la segunda entrega de una serie sobre identidad agéntica. Forma parte del proyecto del NCCoE (el Centro Nacional de Excelencia en Ciberseguridad del NIST) para acelerar la adopción de agentes de software, que recogió más de 600 comentarios a su documento conceptual de febrero. El destino final es una guía de la serie SP 1800, el formato con el que el NIST publica implementaciones de referencia que los supervisores y los equipos de compras acaban citando.
Los 10 principios del NIST para la identidad de agentes de IA
El NIST los presenta como un conjunto inicial y un punto de partida, no como una norma cerrada:
- Identificación propia del agente. Identidad verificable criptográficamente, distinta de las personas y de las cuentas de servicio, con su propio ciclo de vida.
- Vinculación, delegación y atenuación. El agente sigue ligado a quien lo lanzó y la autoridad delegada solo puede reducirse al pasar a otros agentes o servicios.
- Mínimo privilegio, sin privilegios permanentes. Ningún permiso mientras está inactivo y solo el alcance mínimo que necesita cada tarea.
- Autorización temporal, dinámica y revocable. Permisos just-in-time, con caducidad, verificados durante la ejecución y sin credenciales de larga duración.
- Revisión humana por umbrales. Umbrales de riesgo que activan la intervención de una persona con el contexto suficiente para decidir.
- Mandatos y restricciones. Mandatos firmados que delimitan el resultado previsto y que los servicios posteriores pueden verificar.
- Política separada del razonamiento. Lo que el agente decide intentar y lo que se le permite hacer viven en sistemas distintos.
- Decisiones de acceso deterministas. Las señales probabilísticas informan la decisión, pero no la toman solas.
- Monitorización continua. Métricas y umbrales propios de los agentes para detectar comportamientos anómalos a velocidad de máquina.
- Evidencia inalterable. Registro a prueba de manipulación de la identidad, la intención delegada y las acciones del agente, guardado fuera de su alcance.
La autoridad delegada no puede crecer por el camino
Los tres principios siguientes acotan lo que el agente puede hacer con esa identidad. El primero exige que el agente siga vinculado criptográficamente a la persona u organización que lo lanzó durante toda la tarea, y que la autoridad que reciba, incluida la que pase a otros agentes o servicios, nunca supere la de ese origen. El segundo elimina los privilegios permanentes: el agente no conserva permisos mientras está inactivo y recibe solo el alcance mínimo que necesita cada tarea. El tercero limita la autorización en el tiempo. Los permisos se conceden en el momento en que empieza la tarea (just-in-time), caducan, pueden revocarse y se verifican durante la ejecución, sin credenciales de larga duración que alguien pueda reutilizar. Este principio es el que permite distinguir una operación legítima de una no autorizada cuando los agentes de IA actúan por tus clientes.
Con ello el NIST responde a dos problemas que los equipos de riesgo ya conocen con usuarios humanos, el privilegio que se acumula y la credencial robada que sigue sirviendo, y a uno propio de los agentes: el ataque de “confused deputy”, en el que una instrucción inyectada lleva a un agente con permisos amplios a ejecutar algo que no debería. Es el escenario que analizamos en agentes de IA fuera de control.
La política de acceso no puede vivir dentro del modelo
El séptimo principio es el que más consecuencias de arquitectura tiene. Un modelo de lenguaje recibe datos e instrucciones por el mismo canal, y una instrucción maliciosa escondida en un documento podría ampliar los permisos del agente. Por eso el NIST exige separar la política de acceso del razonamiento del agente y advierte de que los guardrails por sí solos no bastan. El octavo lo completa: las decisiones de acceso se toman con controles deterministas, y las señales probabilísticas apoyan la decisión pero nunca la toman solas.
Los cuatro restantes completan el marco con umbrales de riesgo que activan revisión humana, mandatos firmados que delimitan el resultado previsto, como los que ya utiliza el protocolo AP2 en los pagos agénticos, monitorización continua adaptada a la velocidad de los agentes y registros a prueba de manipulación, guardados fuera del alcance del propio agente.
El NIST reconoce que los estándares y la tecnología actuales aún no cubren todos los principios, y recomienda construir una hoja de ruta aplicando cada uno según el riesgo de las transacciones y los datos a los que accede el agente.
Qué implica para los equipos de fraude y riesgo
Los diez principios describen, en vocabulario de identidad, lo que ya sabemos del fraude: si una operación no puede atribuirse a una identidad concreta, no hay evidencia utilizable. El primer paso para un equipo de riesgo es comprobar si sus agentes tienen identidad propia, si sus permisos pueden revocarse durante una tarea y si sus registros quedan fuera de su alcance. Quién aprueba y supervisa esos permisos dentro de la organización es la otra mitad del problema, y la tratamos en agentes de IA y el nuevo rol del CISO. En Facephi trabajamos sobre esa premisa, reuniendo el contexto completo de una identidad y el histórico de sus operaciones en una única plataforma, de modo que la atribución y la evidencia no dependan de reconstruir sesiones después del incidente.
Preguntas frecuentes sobre los principios del NIST
Son diez principios que el NIST, junto a MITRE, propone para gestionar la identidad, la autenticación y la autorización de los agentes de IA. Parten de que cada agente tenga una identidad propia y verificable, y cubren la delegación de autoridad, los permisos, la revisión humana, la monitorización y la conservación de evidencia.
No. El NIST los presenta como un conjunto inicial y un punto de partida. Guiarán las demostraciones del NCCoE y una futura guía de la serie SP 1800, y el propio NIST reconoce que los estándares y la tecnología actuales aún no permiten cumplirlos todos.
Know Your Agent (KYA) aplica a los agentes de IA la lógica del KYC: saber qué agente actúa, en nombre de quién y con qué permisos. Los principios del NIST describen los requisitos técnicos de identidad y autorización que hacen posible ese control.
