Dar identidades reales a los agentes con mTLS
Emita certificados de agente mediante CSR y autorice llamadas de modelo por identidad en vez de compartir API keys.
Una API key demuestra que alguien posee una cadena, no qué agente llama ni cómo revocarlo sin afectar a otras cargas. Los agentes autónomos necesitan un modelo de confianza similar al de los servidores.
Respuesta breve#
- Dé a cada agente identidad propia: par de claves y certificado, no token copiado.
- Permita autorregistro mediante CSR sujeto a política.
- Autorice por identidad de certificado para revocar un agente sin rotar secretos compartidos.
- Administre claves, certificados y política de forma central.
Cómo hacerlo en AI-FW#
- Elija autenticación por agente: API key, JWT, mTLS o Kerberos para equipos unidos al dominio.
- Ejecute autorregistro: el agente genera claves, envía CSR a AI-FW y recibe certificado; la clave privada permanece local.
- Asocie políticas a identidad, roles y grupos, no a todos los poseedores de una clave común.
- Suspenda por identidad. Revoque el certificado del agente sin interrumpir los demás.
- Si lo prefiere, integre la CA existente mediante flujos CA.
Verificar#
- Registre un agente de prueba y confirme que puede llamar a un modelo; pruebe después un certificado no registrado y confirme el rechazo.
- Revoque el certificado de prueba y verifique que falla la siguiente llamada mientras otros agentes siguen funcionando.
- Revise Agents y Agent Trust.
- Confirme que auditoría vincula cada llamada a la identidad del certificado.
Relacionado#
La identidad es la diferencia
Tratar agentes como identidades permite demostrar actividad entre agentes. Consulte AI gateway vs. AI firewall.