El navegador se ha convertido en la interfaz principal de GenAI para la mayoría de las empresas: desde LLM y copilotos basados en la web hasta extensiones basadas en GenAI y navegadores de agentes como ChatGPT Atlas. Los empleados aprovechan el poder de GenAI para redactar correos electrónicos, resumir documentos, trabajar en código y analizar datos, a menudo copiando y pegando información confidencial directamente en mensajes o cargando archivos.
Los controles de seguridad tradicionales no están diseñados para comprender este nuevo patrón de interacción basado en avisos, lo que crea un punto ciego crítico donde el riesgo es mayor. Al mismo tiempo, los equipos de seguridad están bajo presión para habilitar más plataformas GenAI, ya que aumentan significativamente la productividad.
Simplemente bloquear la IA no es realista. El enfoque más sostenible es proteger las plataformas GenAI donde los usuarios acceden a ellas: dentro de la sesión del navegador.
El modelo de amenazas del navegador GenAI
El modelo de amenaza GenAI-in-the-Browser debe abordarse de manera diferente a la navegación web tradicional debido a varios factores clave.
- Los usuarios habitualmente pegan documentos completos, códigos, registros de clientes o información financiera confidencial en las ventanas del símbolo del sistema. Esto puede resultar en que los datos se divulguen o almacenen a largo plazo en el sistema LLM.
- La carga de archivos plantea riesgos similares cuando los documentos se procesan fuera de los canales de procesamiento de datos aprobados o de los límites regionales, lo que pone a las empresas en riesgo de violar las regulaciones.
- Las extensiones y asistentes del navegador GenAI a menudo requieren permisos completos para leer y modificar el contenido de la página. Esto incluye datos de aplicaciones web internas que los usuarios nunca tuvieron la intención de compartir con servicios externos.
- Mezclar cuentas personales y corporativas en el mismo perfil del navegador dificulta el mapeo y el control.
Todos estos comportamientos en conjunto forman una superficie de riesgo que es invisible para muchos controles heredados.
Política: Definición de uso seguro en el navegador
Una estrategia viable de seguridad del navegador GenAI es una política clara y ejecutable que defina lo que significa “uso seguro”.
Los CISO deben categorizar las herramientas GenAI en servicios sancionados y permitir/prohibir herramientas y aplicaciones públicas con diferentes tratamientos de riesgo y niveles de monitoreo. Después de establecer límites claros, las organizaciones pueden apuntar a la aplicación a nivel del navegador para que la experiencia del usuario se alinee con la intención de la política.
Una política estricta consiste en especificaciones de que los tipos de datos nunca se permiten en las solicitudes o cargas de GenAI. Las categorías restringidas comunes pueden incluir información personal regulada, información financiera, información legal, secretos comerciales y código fuente. La redacción de las políticas también debe ser específica y aplicarse de manera consistente mediante controles técnicos en lugar de depender del criterio del usuario.
Pautas de comportamiento con las que los usuarios pueden vivir
Más allá de permitir o rechazar aplicaciones, las empresas necesitan barreras de seguridad que definan cómo los empleados deben acceder y utilizar GenAI en el navegador. Exigir un inicio de sesión único e identidades corporativas para todos los servicios GenAI autorizados puede mejorar la visibilidad y el control y, al mismo tiempo, reducir la probabilidad de que los datos terminen en cuentas no administradas.
Igualmente importante es el manejo de excepciones, ya que equipos como los de investigación o marketing pueden requerir un acceso GenAI más permisivo. Otros, como el financiero o el jurídico, pueden requerir directrices más estrictas. Un proceso formal para solicitar excepciones a políticas, aprobaciones basadas en tiempo y ciclos de revisión proporciona flexibilidad. Estos elementos de comportamiento hacen que los controles técnicos sean más predecibles y aceptables para los usuarios finales.
Aislamiento: contener el riesgo sin sacrificar la productividad
El aislamiento es el segundo pilar importante para proteger el uso de GenAI basado en navegador. En lugar de un modelo binario, las organizaciones pueden utilizar enfoques específicos para reducir el riesgo al acceder a GenAI. Los perfiles de navegador dedicados, por ejemplo, crean límites entre las aplicaciones internas sensibles y los flujos de trabajo con mucha GenAI.
Los controles por sitio y por sesión proporcionan otra capa de defensa. Por ejemplo, un equipo de seguridad puede permitir el acceso de GenAI a ciertos dominios “seguros” y al mismo tiempo limitar la capacidad de las herramientas y extensiones de IA para leer contenido de aplicaciones altamente confidenciales, como sistemas ERP o de recursos humanos.
Este enfoque permite a los empleados continuar usando GenAI para tareas comunes y, al mismo tiempo, reduce la probabilidad de que se compartan datos confidenciales con herramientas de terceros a las que se accede desde el navegador.
Controles de datos: DLP de precisión para mensajes y páginas
La política define la intención y el aislamiento limita la exposición. Los controles de datos proporcionan el mecanismo de aplicación preciso en el borde del navegador. Verificar las acciones del usuario, como copiar y pegar, arrastrar y soltar y cargar archivos en el punto en el que salen de las aplicaciones confiables y ingresan a las interfaces GenAI, es fundamental.
Las implementaciones efectivas deben admitir múltiples modos de cumplimiento: solo monitoreo, alertas a los usuarios, educación oportuna y bloqueos duros para tipos de datos claramente prohibidos. Este enfoque gradual ayuda a reducir la fricción para el usuario y al mismo tiempo previene fugas graves.
Administrar las extensiones del navegador GenAI
Las extensiones de navegador y los paneles de páginas basados en GenAI representan una categoría sensible de riesgo. Muchos ofrecen funciones prácticas como resúmenes de páginas, creación de respuestas o extracción de datos. Sin embargo, esto a menudo requiere amplios permisos para leer y modificar el contenido de la página, las pulsaciones de teclas y los datos del portapapeles. Sin supervisión, estas extensiones pueden convertirse en un conducto de filtración de información confidencial.
Los CISO deben conocer las extensiones impulsadas por IA que se utilizan en su organización, clasificarlas por nivel de riesgo y hacer cumplir una lista estándar de restricciones de denegación o autorización. El uso de un Secure Enterprise Browser (SEB) para monitorear continuamente las extensiones recién instaladas o actualizadas ayuda a detectar cambios en los permisos que pueden introducir nuevos riesgos con el tiempo.
Identidad, cuentas e higiene de sesiones.
Visibilidad, telemetría y análisis.
En última instancia, un programa de seguridad GenAI que funcione se basa en una visión precisa de cómo los empleados utilizan las herramientas GenAI basadas en navegador. Es importante controlar a qué dominios y aplicaciones se accede, qué contenido se ingresa en las solicitudes y con qué frecuencia las políticas activan advertencias o prohibiciones. Al agregar estos datos de telemetría en la infraestructura SIEM y de registro existente, los equipos de seguridad pueden identificar patrones, valores atípicos e incidentes.
Los análisis basados en estos datos pueden ayudar a resaltar riesgos reales. Por ejemplo, al ingresar mensajes, las empresas pueden tomar una decisión clara entre código fuente no confidencial y propietario. Con esta información, los equipos del SOC pueden perfeccionar las reglas, ajustar los niveles de aislamiento e implementar la capacitación donde tendrá el mayor impacto.
Gestión del cambio y formación de usuarios.
Los CISO con programas de seguridad GenAI exitosos invierten tiempo en explicar el “por qué” detrás de las limitaciones. Al compartir escenarios concretos que resuenan con diferentes roles, puede reducir la probabilidad de que su programa falle: los desarrolladores necesitan ejemplos relacionados con la propiedad intelectual, mientras que los representantes de ventas y soporte se benefician de historias sobre la confianza del cliente y los detalles del contrato. Compartir contenido basado en escenarios con partes relevantes refuerza los buenos hábitos en el momento adecuado.
Cuando los empleados comprenden que las barreras de seguridad están diseñadas para preservar, no obstaculizar, su capacidad de utilizar GenAI a escala, es más probable que cumplan con las pautas. Al alinear las comunicaciones con iniciativas más amplias de gobernanza de la IA, los controles a nivel del navegador pueden posicionarse como parte de una estrategia cohesiva en lugar de una estrategia aislada.
Un enfoque práctico de implementación de 30 días
Muchas organizaciones están buscando una forma pragmática de pasar del uso ad hoc de GenAI basado en navegador a un modelo estructurado basado en políticas.
Una forma eficaz de hacerlo es utilizar una plataforma de navegación empresarial segura (SEB) que le brinde la visibilidad y el alcance que necesita. El SEB adecuado le permite mapear las herramientas GenAI actuales utilizadas en su organización, lo que le permite tomar decisiones políticas como modos de solo monitoreo o alerta y educación para comportamientos claramente riesgosos. En las próximas semanas, la aplicación de la ley puede ampliarse para incluir más usuarios y tipos de datos de mayor riesgo, preguntas frecuentes y capacitación.
Al final de un período de 30 días, muchas organizaciones pueden formalizar su política de navegador GenAI, integrar alertas en los flujos de trabajo de SOC y establecer una cadencia para ajustar los controles a medida que evoluciona el uso.
Convierta el navegador en el plano de control de GenAI
A medida que GenAI continúa difundiéndose a través de aplicaciones y sitios web SaaS, el navegador sigue siendo la interfaz central a través de la cual la mayoría de los empleados acceden a él. Las mejores protecciones GenAI simplemente no pueden integrarse en los controles perimetrales heredados. Las empresas pueden lograr mejores resultados si consideran el navegador como su plano de control principal. Este enfoque brinda a los equipos de seguridad oportunidades significativas para reducir las fugas de datos y los riesgos de cumplimiento, manteniendo al mismo tiempo los beneficios de productividad que hacen que GenAI sea tan poderoso.
Con políticas bien diseñadas, estrategias de aislamiento medidas y medidas de protección de datos nativas del navegador, los CISO pueden pasar del bloqueo reactivo a una activación confiable y a gran escala de GenAI en toda su fuerza laboral.
Para obtener más información sobre Secure Enterprise Browsers (SEB) y cómo pueden proteger el uso de GenAI en su organización, hable con un experto de Seraphic.
About The Author
