Cindy Provin (Utimaco): “La criptoagilidad ya no es una característica deseable, es una necesidad”
La rápida adopción de la inteligencia artificial está obligando a las organizaciones a replantearse también cómo proteger los datos, los modelos y las nuevas cargas de trabajo. Para Utimaco, este escenario supone trasladar a la IA una experiencia construida durante años alrededor de la criptografía, los HSM y la gestión de claves.
“Nuestro enfoque ha evolucionado de ser adyacente a la IA a ser fundamental para la IA”, explica Cindy Provin, Chief Sales and Revenue Officer en Utimaco. La razón es que los pipelines de inteligencia artificial se están convirtiendo en “algunos de los entornos de datos más sensibles dentro de cualquier empresa”, lo que ha llevado a la compañía a reforzar su estrategia para protegerlos tanto en entornos locales como en la nube.
La criptografía como base de la IA
“No desarrollamos productos de IA; protegemos la infraestructura sobre la que funciona la IA”, resume Cindy Provin, explicando que Utimaco no pretende desarrollar sus propios productos de inteligencia artificial, y asegurando que que la compañía trabaja con otros proveedores para proteger datasets, modelos y cargas de trabajo mediante la gestión segura del ciclo de vida de las claves.
La estrategia responde a un principio sencillo: “No reinventamos la rueda”. En lugar de desarrollar otra plataforma de IA, Utimaco integra su experiencia criptográfica con estas nuevas cargas de trabajo para reducir los riesgos y facilitar su despliegue. En paralelo, también está utilizando IA internamente para mejorar y mantener actualizadas sus guías de integración y estudia infraestructuras aisladas —air-gapped— para evitar posibles fugas de propiedad intelectual.
Gobernar significa controlar las claves
El crecimiento de la IA también introduce nuevos retos de gobernanza. Para Provin, las políticas por sí solas no son suficientes si no existen mecanismos técnicos que permitan aplicarlas. “La gobernanza de la IA sin aplicación criptográfica a nivel de hardware no es realmente gobernanza”, asegura.
Y el punto de partida está en las claves. “No puedes gobernar lo que no puedes controlar y, cuando utilizas cifrado, no puedes demostrar ese control sin controlar las claves”, asegura la directiva, explicando que los HSM actúan así como una raíz de confianza desde la que proteger el acceso a la información, algo especialmente relevante cuando modelos y agentes pueden manejar grandes cantidades de datos corporativos.
Además, esas cargas se distribuyen cada vez más entre infraestructura propia, cloud y entornos híbridos. “Las cargas de IA no respetan las fronteras de la infraestructura y el marco de gobernanza tampoco debería hacerlo”, señala Provin.
Una superficie de ataque cada vez mayor
La velocidad de evolución de la inteligencia artificial está poniendo también a prueba las arquitecturas de seguridad, y el problema aumenta con los agentes capaces de acceder a información y actuar de forma autónoma. “Las claves que antes protegían datos a los que accedían seres humanos ahora protegen datos a los que acceden sistemas autónomos”, lo que amplía considerablemente la superficie que las organizaciones tienen que gobernar.
A este escenario se suma la transición hacia la criptografía poscuántica y la amenaza de los ataques harvest now, decrypt later: recopilar hoy información cifrada para intentar descifrarla en el futuro. Tiene claro Cindy Provin que “las organizaciones que retrasan la migración están acumulando un riesgo del que quizá ni siquiera sean conscientes”, y que “la criptoagilidad ya no es una característica deseable”. Las organizaciones necesitan poder adaptar sus algoritmos y sistemas a medida que evolucionen los estándares sin tener que sustituir toda su infraestructura.
Para las empresas que están pasando de las primeras pruebas de IA a despliegues más amplios, la recomendación es no repetir algunos de los errores de la primera etapa del cloud, cuando la velocidad de adopción dejó en segundo plano determinadas cuestiones de seguridad. “La deuda de gobernanza, al igual que la deuda técnica, se acumula con el tiempo y puede resultar considerablemente más cara de solucionar a posteriori”, recuerda Provin, quien recomienda definir la gestión de claves, la protección de los datos y el gobierno de accesos antes de escalar los proyectos.
También plantea tratar la IA como infraestructura crítica. Los datos de entrenamiento, las entradas utilizadas durante la inferencia o los pesos de los modelos se encuentran entre “los datos más sensibles y estratégicamente valiosos que posee una organización” y, a su juicio, necesitan “protección de nivel HSM, no simplemente controles en la capa de software”.
La IA también puede ayudar a proteger la criptografía
La relación entre IA y criptografía no se limita, sin embargo, a los riesgos. Utimaco también explora cómo utilizar la inteligencia artificial para acelerar la transición poscuántica.
Una migración de este tipo exige localizar implementaciones criptográficas y analizar dependencias en miles de sistemas. “La migración a PQC implica fundamentalmente mapear datos y dependencias a escala empresarial”, explica Provin, un trabajo de descubrimiento en el que la IA podría reducir procesos que de otra forma “requerirían años de esfuerzo manual”.
La siguiente evolución podría llegar de la mano de agentes capaces de supervisar la postura criptográfica, detectar anomalías y activar procesos de remediación. A ello se suman tecnologías como la computación confidencial, el cifrado homomórfico o los enclaves seguros, que permitirán a los modelos trabajar sobre información protegida.
“Esto representa el verdadero potencial transformador a largo plazo de la convergencia entre IA y criptografía”, concluye Provin.
La entrada Cindy Provin (Utimaco): “La criptoagilidad ya no es una característica deseable, es una necesidad” se publicó primero en Ciberseguridadtic.