RSA ha presentado Agent ID, una plataforma de seguridad de identidades diseñada para descubrir, controlar y supervisar agentes de inteligencia artificial en bancos, organismos públicos y otras organizaciones con exigencias estrictas de seguridad y cumplimiento normativo. La solución busca que cada agente tenga un responsable identificado, permisos delimitados y un registro verificable de las acciones que requieren autorización humana. Su disponibilidad general está prevista para noviembre de 2026 en dos de sus módulos, mientras que el módulo de gobierno llegará en la primera mitad de 2027.
Las claves de RSA Agent ID en 30 segundos
- La plataforma permite localizar agentes de IA y servidores del protocolo Model Context Protocol (MCP), incluidos los que operan sin autorización formal.
- Cada agente puede registrarse con un responsable, un nivel de riesgo y un estado dentro de su ciclo de vida.
- Las acciones de alto riesgo requieren la aprobación de una persona identificada y autenticada mediante un mecanismo resistente al phishing.
- La pasarela de control puede ejecutarse en la nube, en entornos híbridos o en infraestructura propia.
- Discover y Secure llegarán el 16 de noviembre de 2026; Govern está previsto para el primer semestre de 2027.
El anuncio responde a un problema que empieza a cobrar importancia a medida que las empresas incorporan agentes capaces de consultar datos, utilizar herramientas y ejecutar operaciones en sistemas corporativos. A diferencia de un asistente que se limita a responder preguntas, un agente puede disponer de credenciales y permisos para actuar sobre aplicaciones, bases de datos o servicios internos.
Eso obliga a extender la gestión de identidades más allá de los empleados y las cuentas de servicio tradicionales. Las organizaciones necesitan saber qué agentes están activos, quién responde de ellos, a qué recursos pueden acceder y cómo detenerlos cuando dejan de ser necesarios.
RSA, proveedor de soluciones de identidad y control de acceso, presenta Agent ID como una extensión de su Unified Identity Platform. La compañía sostiene que las identidades de los agentes deben gestionarse con controles similares a los aplicados a las personas, aunque con mecanismos específicos para automatizar su registro, revisar sus permisos y vincular las operaciones relevantes con una autorización verificable.
Tres módulos para descubrir, proteger y gobernar agentes
RSA Agent ID se divide en tres módulos que cubren distintas etapas del ciclo de vida de un agente. La empresa plantea que pueden contratarse por separado o utilizarse como partes de una plataforma conectada.
| Módulo | Función principal | Qué permite hacer |
|---|---|---|
| Agent ID Discover | Descubrimiento y registro | Localiza agentes y servidores MCP en fuentes de identidad, nube, dispositivos y pasarelas. Los registra con propietario, nivel de riesgo y estado. |
| Agent ID Secure | Control de acceso y autorización | Aplica políticas en cada llamada que pasa por la pasarela de IA/MCP y exige autorización humana adicional para acciones de alto riesgo. |
| Agent ID Govern | Gobierno y revisión | Permite certificar agentes, revisar sus accesos según el riesgo y automatizar tareas de gestión durante su ciclo de vida. |
Discover está orientado a identificar tanto los agentes conocidos como los que funcionan al margen de los procedimientos internos, una situación que suele describirse como shadow AI. La plataforma también busca registrar los servidores MCP, que permiten a los modelos y agentes conectarse con herramientas, fuentes de datos y servicios externos.
Secure se sitúa en el punto donde los agentes invocan herramientas. La pasarela de IA/MCP aplica las políticas a las llamadas y puede exigir que una persona identificada apruebe determinadas operaciones. Según RSA, esa aprobación debe realizarse fuera del flujo automatizado y utilizar una credencial resistente al phishing.
El tercer componente, Govern, añade revisiones periódicas de acceso y procesos de certificación para los agentes. Su objetivo es evitar que las identidades automatizadas acumulen permisos sin revisión o sigan activas después de dejar de utilizarse.
Los tres módulos responden a necesidades diferentes: saber qué agentes existen, limitar lo que pueden ejecutar y comprobar periódicamente que sus permisos siguen siendo adecuados.
Control de las decisiones y despliegue en infraestructura propia
Uno de los elementos destacados por RSA es la posibilidad de ejecutar la pasarela en la nube, en una arquitectura híbrida o en infraestructura local. La ubicación puede elegirse para cada pasarela, y cuando una organización la aloja en su propio entorno, la decisión de aplicar la política a cada llamada se toma allí.
La compañía también afirma que los datos de cada cliente permanecen en la región seleccionada, Estados Unidos o la Unión Europea, y que las evidencias de control se generan donde se ejecuta la pasarela antes de enviarse al sistema de gestión de información y eventos de seguridad (SIEM).
Este planteamiento busca responder a las necesidades de bancos, organismos públicos y operadores de infraestructuras críticas que no pueden delegar todas las decisiones de autorización en un proveedor externo. Para estas organizaciones, la ubicación de los datos, la trazabilidad de las operaciones y la capacidad de demostrar quién autorizó una acción pueden formar parte de los requisitos de auditoría.
RSA también afirma que Agent ID no obliga a adoptar un único proveedor de identidad. La plataforma pretende trabajar con el sistema que la organización ya utiliza, de modo que la gestión de agentes no dependa de un ecosistema de identidad concreto.
Hay, no obstante, un límite importante en la oferta inicial: la versión completamente autogestionada y aislada de redes externas, conocida como air-gapped, está prevista para 2027. Por tanto, esa modalidad no debe confundirse con las opciones de despliegue anunciadas para la primera disponibilidad.
La autorización humana como límite para los agentes
El control de las acciones de alto riesgo es uno de los puntos centrales de Agent ID. RSA propone que determinadas operaciones no se ejecuten solo porque un agente tenga acceso técnico a una herramienta. Antes debe existir una autorización de una persona identificada y autenticada.
Este mecanismo pretende vincular cada acción relevante con un responsable humano. También permite que las organizaciones registren las operaciones gobernadas y dispongan de evidencias para revisiones internas o auditorías externas.
La plataforma contempla además la revocación de permisos cuando un agente se retira. Ese aspecto resulta relevante en entornos donde los agentes se crean para tareas específicas, cambian de función o dejan de utilizarse sin que necesariamente desaparezcan de inmediato todas sus credenciales.
La eficacia de estos controles dependerá de cómo se configuren las políticas, qué sistemas se conecten a la pasarela y qué acciones queden dentro de su ámbito de supervisión. La información publicada por RSA describe las capacidades previstas, pero no aporta resultados de despliegues independientes que permitan cuantificar su eficacia en producción.
Fechas de disponibilidad y alcance inicial
RSA ha fijado el 16 de noviembre de 2026 como fecha de disponibilidad general para Agent ID Discover y Agent ID Secure. Agent ID Govern está previsto para la primera mitad de 2027.
La empresa presentó la plataforma en The AI Conference de San Francisco el 29 de septiembre de 2026. Además, publicó un documento técnico sobre la arquitectura de identidad para organizaciones con altos requisitos de seguridad y cumplimiento.
El lanzamiento refleja una nueva necesidad en la seguridad corporativa: las identidades automatizadas requieren controles que permitan conocer su origen, limitar sus permisos y atribuir sus operaciones. La propuesta de RSA consiste en aplicar esos controles en el punto donde los agentes acceden a herramientas y sistemas, manteniendo la posibilidad de ejecutar la política en el entorno elegido por el cliente.
Para las organizaciones que están incorporando agentes a procesos financieros, administrativos o de infraestructura, la cuestión ya no es únicamente qué modelo de IA utilizan. También deben determinar qué identidad actúa, con qué autoridad y bajo qué mecanismos de supervisión.
Preguntas frecuentes
¿Qué es RSA Agent ID?
Es una plataforma de seguridad de identidades para descubrir, proteger y gobernar agentes de inteligencia artificial. Está dirigida especialmente a organizaciones reguladas, como bancos y organismos públicos.
¿Qué diferencia hay entre Discover, Secure y Govern?
Discover localiza y registra agentes; Secure aplica políticas de acceso y controles de autorización; Govern permite revisar permisos, certificar agentes y automatizar su gestión durante el ciclo de vida.
¿Cuándo estará disponible RSA Agent ID?
Discover y Secure tienen prevista su disponibilidad general para el 16 de noviembre de 2026. Govern está previsto para la primera mitad de 2027.
¿Puede ejecutarse RSA Agent ID en infraestructura propia?
La pasarela de IA/MCP puede desplegarse en la nube, en entornos híbridos o en infraestructura local. RSA ha anunciado para 2027 una versión completamente autogestionada y aislada de redes externas.
