La cadena de ataque moderna: un nuevo enfoque de la seguridad de Google Workspace en la era de la IA

El artículo analiza cómo ha evolucionado la cadena de ataques en plataformas de trabajo como Google Workspace. Tradicionalmente, se consideraba que el correo electrónico era el canal principal de peligro mediante tácticas de suplantación y robo de credenciales. Sin embargo, incidentes recientes muestran que el patrón ha cambiado y que los tokens OAuth se han convertido en la vía de entrada inicial para acceder a datos sensibles en servicios como Gmail y Drive, facilitando posteriormente la toma de cuentas y el movimiento lateral.

Este mismo patrón de comportamiento describe de manera involuntaria las acciones cotidianas de los agentes de inteligencia artificial autorizados. Al contar con permisos amplios y utilizar concesiones OAuth legítimas, un agente puede acceder a carpetas e hileras de correos imprevistos, procesar información confidencial y realizar acciones en cascada que terminan exfiltrando datos a terceros. Esto ocurre sin la presencia de un actor malicioso o una credencial comprometida, sino simplemente por la falta de controles adecuados en el entorno donde operan estos sistemas automatizados.

Para hacer frente a estas amenazas, las organizaciones deben enfocar sus defensas en el entorno y no únicamente en las restricciones sobre los agentes de inteligencia artificial o en soluciones aisladas. Esto implica bloquear correos maliciosos iniciales, detectar comportamientos anómalos en los tokens OAuth, identificar y proteger datos sensibles en reposo tanto en el correo como en el almacenamiento en la nube, y bloquear el movimiento lateral mediante la ocultación de enlaces de restablecimiento de contraseñas.