Cloud Security Alliance amplía su enfoque en la gobernanza y la garantía de los sistemas de IA agentes
La Cloud Security Alliance (CSA) anunció recientemente una serie de hitos de la Fundación CSAI destinados a asegurar lo que llama el plano de control agente, incluida una nueva iniciativa de riesgo catastrófico, la autorización de la Autoridad de Numeración CVE y la adquisición de dos especificaciones de IA agente.
El anuncio del 29 de abril, realizado en la Cumbre de Seguridad de IA Agentic de CSA, se centra en la gobernanza y la garantía de los sistemas de IA Agentic. CSA dijo que los hitos amplían la misión de la Fundación CSAI para 2026 de «Asegurar el avión de control agente».
Según CSA, los anuncios incluyen el lanzamiento del Anexo STAR para Riesgos Catastróficos de IA, la autorización como Autoridad de Numeración CVE a través de MITRE y la adquisición de la especificación de Gestión Autónoma del Tiempo de Ejecución de Acción y el Marco de Confianza Agentic.
«La economía global se enfrenta a dos exponenciales a la vez: modelos fronterizos que se superan mes tras mes y una adopción viral y ascendente de agentes dentro del negocio», afirmó Jim Reavis, director ejecutivo y cofundador de CSA. «Los anuncios de hoy brindan a las empresas, auditores y reguladores las especificaciones técnicas y el andamiaje de seguridad para decir sí a la IA agente sin perder el control de ella».
Planean anexo de riesgo catastrófico
El Anexo STAR para Riesgos Catastróficos de la IA se lanza con el apoyo de Coficient Giving, que CSA describió como una organización filantrópica que respalda el trabajo de seguridad de la IA a largo plazo. CSA dijo que el anexo amplía la Matriz de controles de IA y el programa de garantía STAR para IA para cubrir escenarios que involucran pérdida de supervisión humana, comportamiento incontrolado del sistema y otras consecuencias irreversibles a gran escala para toda la sociedad.
El anexo está diseñado para centrarse en los controles que pueden probarse en entornos de producción, según CSA. Una publicación de blog relacionada de CSA dijo que el proyecto identificará los controles AICM existentes relevantes para el riesgo catastrófico, introducirá nuevos controles donde existan brechas y definirá requisitos de evidencia y criterios de prueba adecuados para una evaluación independiente.
La implementación está planificada en cuatro fases desde junio de 2026 hasta diciembre de 2027. La fase 1, de junio a septiembre de 2026, tiene como objetivo traducir escenarios de riesgo catastrófico a un lenguaje de control auditable. La fase 2, de octubre a diciembre de 2026, tiene como objetivo desarrollar protocolos de validación. La fase 3, de enero a junio de 2027, tiene como objetivo llevar el anexo a entornos del mundo real a través de evaluaciones piloto, capacitación de evaluadores e implementaciones de referencia. La fase 4, de julio a diciembre de 2027, tiene como objetivo producir STAR público para entradas de registro de IA, evaluaciones comparativas y un informe sobre el estado de los controles de riesgos catastróficos de la IA.
CSA dijo que el anexo se alineará con el NIST AI RMF, la Ley de IA de la UE y la ISO/IEC 42001. La fuente no documenta un texto de control específico para el anexo.
AICM y STAR para el contexto de la IA
El anexo se basa en la Matriz de controles de IA de CSA, que CSA describe como un marco independiente del proveedor para sistemas de IA basados en la nube. CSA dice que el AICM contiene 243 objetivos de control en 18 dominios de seguridad y se asigna a estándares que incluyen ISO 42001, ISO 27001, NIST AI RMF 1.0 y BSI AIC4.
El paquete AICM incluye la matriz en sí, la correspondencia con NIST AI 600-1, ISO 42001 y la Ley de IA de la UE, pautas de implementación, pautas de auditoría, el cuestionario AI-CAIQ, orientación introductoria y una guía de presentación de STAR para AI Nivel 1, según CSA.