Directrices de gestión de riesgos de MAS IA: Por qué las instituciones financieras necesitan contención

Un colega en Singapur me dijo que llega al aeropuerto de Changi unos 30 minutos antes de su vuelo. Camina directamente hacia su puerta, pasa la seguridad allí y sube a bordo. Dejé escapar un jadeo audible.

Acababa de pasar unas vacaciones en Singapur, así que puedo confirmar el bombo. Changi es el aeropuerto más chulo por el que pasé. La cascada interior es el que más vale la vista, así que vamos a dejar eso de en medio. Más allá, los viajeros pueden pasear entre terminales, pasar el rato en un bar o dejar que sus hijos gasten energía.

Lo que se me quedó grabado, sin embargo, es donde ocurre la verdadera comprobación de seguridad. En las Terminales 1–3, está en la propia puerta.

Muchos aeropuertos revisan a todos una vez en la entrada y luego confían en todo el vestíbulo. Changi pone el control en el destino. Esa es la lógica detrás de la microsegmentación, y Changi la estuvo aplicando durante años sin llamarla así.

Ahora cambia a los pasajeros por agentes de IA. Ya están dentro del edificio, mover entre sistemas, teniendo acceso a datos y actuando por su cuenta.

El regulador financiero de Singapur se dio cuenta. En sus nuevas Directrices sobre la Gestión de Riesgos por Inteligencia Artificial para Instituciones Financieras, la Autoridad Monetaria de Singapur (MAS) advierte que agentes de IA comprometidos con acceso a sistemas internos podrían "exfiltrar datos sensibles o ejecutar comandos maliciosos a gran escala."

Las directrices esperan que las compañías sepan dónde reside cada sistema de IA y quién es su propietario. Luego apuntan a la puerta: segmentación de red, separación del entorno y acceso con privilegio mínimo.

Ese es el verdadero mensaje para bancos, aseguradoras y compañías de pagos. Las barreras de seguridad determinan cómo se comporta un agente controlado por la IA. La contención decide hasta dónde llega cuando falla una barrera de protección. MAS espera ambas cosas, y el reloj ya está corriendo.

MAS emitió las directrices el 7de octubre de 2026. Entran en vigor en dos etapas:

• 7de octubre de 2027: supervisión, identificación de IA, inventario de IA y una valoración de riesgo para cada caso de uso
• 7de octubre de 2028: controles del ciclo de vida, incluyendo tecnología y ciberseguridad

Son expectativas de supervisión, adaptadas al tamaño de cada compañía y a la cantidad de IA que emplea. Esa flexibilidad no baja el listón.

Las directrices de IA de MAS parecen una lista de verificación de seguridad

La tecnología y los controles de ciberseguridad resultarán familiares para cualquier equipo de seguridad. Las instituciones financieras deberían considerar:

• Segmentación de la red donde se despliega la IA (párrafo 5.16(a))
• Separar entornos y aplicar el acceso de privilegio mínimo en todo el sistema de IA, incluyendo sus APIs, plugins y servicios de terceros (párrafo 5.22(a))
• Controlar plugins y APIs para que no puedan filtrar datos (párrafo 5.16(c))
• Bloqueo y registro del acceso a sistemas, modelos, datos de entrenamiento y pipelines de IA (párrafo 5.23(d))
• Mantener un interruptor de apagado para IA de alto riesgo (párrafo 5.23(b))

Las directrices describen qué considerar y dejan el cómo a cada despacho. Ahí es donde empiezan las decisiones difíciles.

Las barreras son las normas. La puerta es la aplicación de la ley.

MAS se toma muy en serio las barreras de seguridad. El párrafo 5.15 dice que las pruebas para IA generativa y agentes de IA deberían cubrir "la eficacia de los límites asociados." Las directrices también nombran la inyección inmediata y el envenenamiento de datos como riesgos de seguridad (párrafo 1.10).

Pero una barrera de seguridad habita dentro del sistema que está destinada a vigilar. Las barreras detectan la mayoría de los malos comportamientos, pero algunos pasan. Y la entrada de un atacante a menudo llega a la barrera de protección al mismo tiempo que llega al modelo.

Así que hazte la pregunta más difícil: Si un atacante tomara el control total de este agente mañana, ¿a dónde podría llegar? Esa respuesta es tu verdadera exposición.

Los controles que se mantienen son aquellos que un agente no puede superar con palabras. Una puerta no pide a un pasajero que se comporte. Simplemente no se abre para la tarjeta de embarque equivocada. Para un agente de IA, eso significa aplicar la aplicación fuera del modelo: política de red y acceso con alcance que se aplican sin importar lo que se convenció al agente de hacer.

Una puerta para cada carga de trabajo: microsegmentación para agentes de IA

¿Cómo es una puerta para un agente de IA?

MAS nombra segmentación de red y acceso con privilegio mínimo. La microsegmentación es cómo se hacen cumplir ambos, carga de trabajo por carga de trabajo. Cada parte de un sistema de IA tiene su propia puerta, incluyendo la aplicación, los datos que lee, las APIs y plugins que llama, y los sistemas a los que puede acceder un agente. Si te comprometes uno, la política decide hasta dónde llega. Idealmente, no muy lejos.

También hay una pieza de visibilidad. Para los agentes de IA, MAS sugiere que el registro de inventario sea "las herramientas y sistemas a los que el agente puede acceder" (nota al pie 25). No puedes escribirlo, y mucho menos hacerlo cumplir, si no ves cómo se comunican tus cargas de trabajo entre sí. Primero ve y luego redacta la póliza.

La plataforma Illumio maneja ambas mitades. Illumio Insights ofrece a los equipos de seguridad una visibilidad en tiempo real impulsada por IA sobre cómo se comunican las cargas de trabajo entre centros de datos, nubes y endpoints. Illumio Segmentation convierte esa visibilidad en políticas que detienen el movimiento lateral. Para cargas de trabajo de IA, la plataforma se ajusta a las directrices MAS en cuatro lugares:

• Mira con qué habla tu IA. Illumio Insights mapea las conexiones reales entre aplicaciones de IA, modelos, almacenes de datos y servicios de terceros, incluidos aquellos que nadie documentó. Eso te da un punto de partida factual para el inventario de 2027. También ayuda a que la IA de sombras aparezca cuando una carga de trabajo desconocida empieza a llamar a un modelo o API externo.
• Limita lo que puede alcanzar. Illumio Segmentation aplica una política de mínimo privilegio en torno a cada componente de IA. Un modelo puede acceder a sus datos de entrenamiento, un agente puede llamar a los plugins que está aprobado para usar, y todo lo demás está bloqueado por defecto. Esto incluye segmentar la red donde se ejecuta la IA, separar entornos y evitar que los plugins y APIs se conviertan en una salida silenciosa para los datos sensibles.
• Reduce el radio de la explosión. Cuando falla una barrera de seguridad, la política mantiene un fallo en un incidente. Si un sistema de IA de alto riesgo necesita desconectar rápidamente, puedes aislarlo mientras se desarrolla la investigación. Eso da al interruptor de apagón que el MAS recomienda un backstop a nivel de red.
• Muestra tu trabajo. Los supervisores querrán pruebas. Los registros de flujo de tráfico muestran qué cargas de trabajo se conectaron a tus sistemas, modelos y datos de IA, y cuándo. También muestran a los equipos rojos hasta dónde puede llegar un componente comprometido. Puedes probar la contención con tanto cuidado como pruebas las barreras de seguridad y almacenar los resultados en el archivo.

Antes de la llamada de embarque: 5 pasos para preparar para las directrices de MAS IA

La preparación está prevista para 2027. Los controles técnicos se realizarán en 2028. Ninguno está lejos.

1. Mapea a qué se conecta tu IA. Tu inventario y calificaciones de riesgo de 2027 necesitarán sensibilidad de datos, dependencias del sistema y, en el caso de los agentes, lo que pueden acceder.
2. Busca IA en sombras. La nota al pie 22 apunta a la monitorización de red y a la prevención de pérdida de datos para detectar usos no autorizados.
3. Prueba de contención junto a las barandillas. El párrafo 5.22(b) pide pruebas de penetración y red teaming en sistemas de IA. Pregunta hasta dónde podría llegar un componente comprometido.
4. Empieza donde el riesgo es mayor. MAS ajusta sus expectativas al riesgo, así que pon la segmentación y el acceso con privilegio mínimo alrededor de tus casos de mayor riesgo.
5. Consulta la IA de terceros y los plugins. El párrafo 5.16(c) establece controles que limitan la exposición de datos mediante plugins y APIs.

Las directrices de IA de MAS llegan hasta la puerta

Es tentador leer las "directrices" y una fecha límite de 2028 como un problema para más adelante. Pero el trabajo de 2027 ya alcanza la IA en la sombra y la IA integrada en los servicios de los proveedores. Y cuando la IA proviene de un proveedor, la responsabilidad sigue siendo responsabilidad de la institución.

Los supervisores medirán a las compañías según estas expectativas, y la Junta de Estabilidad Financiera consultó sobre prácticas similares a nivel global. Mientras tanto, los atacantes no esperarán a una fecha de cumplimiento para ir tras los agentes que ya están dentro de tu red.

Changi lo descubrió mucho antes de que llegaran los agentes de IA: saber quién está en el manifiesto y poner el control en la puerta. Las instituciones financieras pueden aplicar la misma lógica a los agentes que ya caminan por su corredor.

Aprende cómo Illumio ayuda a las instituciones financieras Contienen los incumplimientos antes de que se propaguen.