Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
El plan de Administración de posturas de seguridad en la nube (CSPM) de Defender para la nube protege entornos de nube híbridos, multinube o creados por la empresa. Estos entornos incluyen Azure, Amazon Web Services (AWS) y Google Cloud Platform (GCP), incluida la inteligencia artificial de vértices. El plan CSPM de Defender protege las aplicaciones de IA generativas y los agentes de IA (versión preliminar) durante todo su ciclo de vida.
Defender for Cloud reduce los riesgos asociados a las cargas de trabajo de inteligencia artificial en la nube cruzadas haciendo lo siguiente:
- Descubrimiento de la lista de materiales de IA generativa (BOM de IA), que incluye los componentes de la aplicación, los datos y los artefactos de IA desde el código hasta la nube.
- Reforzar la posición de seguridad de las aplicaciones de IA generativa con recomendaciones integradas y explorando y corrigiendo los riesgos de seguridad.
- Usar el análisis de ruta de acceso de ataque para identificar y corregir riesgos.
- Destacar los puntos de acceso de IA accesibles desde el exterior para que los equipos puedan aplicar una autenticación robusta e identidades con el mínimo privilegio.
Importante
Para habilitar las funcionalidades de administración de la posición de seguridad de la inteligencia artificial en una cuenta de AWS que ya:
- Está conectada a su cuenta de Azure.
- Tiene habilitado Defender CSPM.
- Tiene el tipo de permisos establecido como Acceso con privilegios mínimos.
Debe volver a configurar los permisos en ese conector para habilitar los permisos pertinentes mediante estos pasos:
- En Azure Portal, vaya a la página Configuración del entorno y seleccione el conector de AWS adecuado.
- Seleccione Configurar acceso.
- Asegúrese de que el tipo de permisos esté establecido en Acceso con privilegios mínimos.
- Siga los pasos del 7 al 11 en Conexión de su cuenta de AWS para finalizar la configuración.
Descubrir aplicaciones de IA generativa
Defender for Cloud detecta cargas de trabajo de inteligencia artificial e identifica los detalles de BOM de IA de la organización. Esta visibilidad le permite identificar y abordar vulnerabilidades y proteger las aplicaciones de IA generativa frente a posibles amenazas.
Defender for Cloud detecta automáticamente y continuamente las cargas de trabajo de inteligencia artificial implementadas en los siguientes servicios:
- Servicio Azure OpenAI
- Azure AI Foundry
- Azure Machine Learning
- Amazon Bedrock
- Inteligencia artificial de vértices de Google
Defender for Cloud también puede detectar vulnerabilidades en las dependencias de bibliotecas de IA generativa, como TensorFlow, PyTorch y Langchain, analizando el código fuente en busca de errores de configuración de la infraestructura como código (IaC) y las imágenes de contenedores en busca de vulnerabilidades. La actualización periódica o la aplicación de revisiones a las bibliotecas pueden evitar vulnerabilidades de seguridad, protegiendo las aplicaciones de IA generativa y manteniendo su integridad.
Con estas características, Defender for Cloud proporciona visibilidad completa de las cargas de trabajo de inteligencia artificial desde el código a la nube.
Detección de agentes de IA (versión preliminar)
A partir del 1 de julio de 2026, el descubrimiento de agentes de IA y la postura de seguridad de los agentes de Microsoft Foundry y de los agentes en la nube de terceros requieren una licencia de Microsoft Agent 365. Estas funcionalidades estaban disponibles anteriormente a través del plan de Defender CSPM en Microsoft Defender para la nube. Defender CSPM sigue detectando Microsoft cuentas y proyectos de Foundry, pero las funcionalidades de nivel de agente ahora requieren el Agente 365. Para obtener más información sobre esta transición, consulte Funcionalidades de seguridad del agente de IA de Microsoft para Microsoft Agent 365.
El inventario del agente de IA está disponible en el portal de Microsoft Defender y proporciona una vista centralizada de los agentes junto con su estado de seguridad. Para obtener más información, consulte Descubrir los agentes de IA y evaluar la postura de seguridad mediante el inventario de agentes de IA en el portal de Microsoft Defender.
Reducir los riesgos para las aplicaciones de IA generativa
Defender CSPM proporciona información contextual sobre la posición de seguridad de la inteligencia artificial de una organización. Puede reducir los riesgos dentro de las cargas de trabajo de inteligencia artificial mediante recomendaciones de seguridad y análisis de rutas de acceso a ataques.
Exploración de riesgos mediante recomendaciones
Defender for Cloud evalúa las cargas de trabajo de inteligencia artificial. Emite recomendaciones sobre la identidad, la seguridad de los datos y la exposición a Internet para ayudarle a identificar y priorizar los problemas de seguridad críticos.
En el caso de los puntos de conexión de IA expuestos a Internet, priorice las recomendaciones que refuerzan la autenticación y limitan los permisos de identidad a privilegios mínimos.
Detectar errores de configuración de IaC
La seguridad de DevOps detecta configuraciones incorrectas de IaC, que pueden exponer aplicaciones de inteligencia artificial generativas a vulnerabilidades de seguridad, como controles de acceso sobreexpuestos o servicios expuestos públicamente involuntariamente. Estos errores de configuración podrían dar lugar a vulneraciones de datos, accesos no autorizados y problemas de cumplimiento, especialmente cuando se controlan normativas estrictas sobre privacidad de datos.
Cuando los cambios de IaC crean servicios de inteligencia artificial accesibles externamente, use la autenticación sólida y las identidades administradas con privilegios mínimos para reducir el riesgo.
Defender for Cloud evalúa la configuración de las aplicaciones de IA generativas y proporciona recomendaciones de seguridad para mejorar la posición de seguridad de la inteligencia artificial.
Para evitar problemas complejos más adelante, corrija las configuraciones erróneas detectadas al principio del ciclo de desarrollo.
Las comprobaciones de seguridad actuales de IA de IaC incluyen:
- Use puntos de conexión privados del Servicio de IA de Azure
- Restringir puntos de conexión de servicios de IA de Azure
- Usar Identidad administrada para las cuentas de Azure AI Service
- Use la autenticación basada en la identidad para las cuentas de Azure AI Services
Exploración de riesgos con el análisis de rutas de ataque
El análisis de rutas de acceso a ataques detecta y mitiga los riesgos para las cargas de trabajo de inteligencia artificial. Es posible que los datos se expongan durante la puesta en tierra de los modelos de inteligencia artificial a datos específicos y el ajuste preciso de un modelo entrenado previamente en un conjunto de datos específico para mejorar su rendimiento en una tarea relacionada.
Si un endpoint de IA es accesible desde el exterior, una autenticación débil o inexistente puede aumentar el impacto de una ruta de ataque y facilitar accesos posteriores.
Al supervisar continuamente las cargas de trabajo de inteligencia artificial, el análisis de rutas de acceso a ataques puede identificar puntos débiles y posibles vulnerabilidades y realizar un seguimiento de las recomendaciones. Además, se extiende a casos en los que los datos y los recursos de proceso están distribuidos en Azure, AWS y GCP.