Una alianza para un problema que ningún proveedor ve completo
Okta anunció el 22 de septiembre de 2026 la creación de la Blueprint Alliance junto con Amazon Web Services, CrowdStrike, Databricks, Docker, Google Cloud, Lovable, Proofpoint, Salesforce, ServiceNow, Wiz y Zscaler. El grupo reúne a doce proveedores que operan en capas distintas de la tecnología empresarial y amplía un diseño presentado por Okta en marzo hasta convertirlo, según el anuncio, en una arquitectura de referencia abierta y multivendor.
La noticia importa porque un agente puede empezar en una plataforma, consultar datos en otra, llamar a aplicaciones SaaS, delegar parte de la tarea y terminar actuando sobre infraestructura que pertenece a un tercer proveedor. Cada pieza puede registrar su propio tramo sin que una sola empresa vea la cadena completa. La alianza intenta definir una lectura común de esa cadena, desde el descubrimiento del agente hasta su contención.
Cuatro preguntas ordenan la arquitectura
El diseño se presenta alrededor de cuatro preguntas operativas: dónde están los agentes, qué pueden hacer, qué están haciendo y cómo responder. No es solo un cambio de vocabulario. Sitúa en el mismo plano el inventario, la autorización, la observación en tiempo de ejecución y la capacidad de retirar acceso o detener una sesión.
Los miembros dicen haber acordado principios compartidos: cada agente debe tener una identidad propia, el acceso debe limitarse a la tarea en lugar de mantenerse de forma permanente, la delegación entre agentes tiene que dejar rastro y la respuesta debe ser rápida y reversible. El objetivo declarado es que esos controles acompañen al agente aunque cruce nubes, aplicaciones y herramientas de distintos fabricantes.
- Descubrir y registrar agentes conocidos, de terceros y no autorizados.
- Vincular cada identidad con un propietario y un alcance de acceso concreto.
- Reconstruir conexiones, delegaciones y acciones durante la ejecución.
- Revocar credenciales, aislar sesiones o limitar el agente sin desmontar todo el proceso.
La identidad del agente deja de ser una cuenta prestada
El planteamiento coincide con un problema documentado fuera de la alianza. El National Institute of Standards and Technology de Estados Unidos abrió este año un trabajo específico sobre identidad y autorización de agentes. NIST advierte de que dar acceso a datos, herramientas y aplicaciones exige identificación, autorización, auditoría y una forma verificable de representar la delegación.
En agosto, NIST volvió sobre una práctica habitual en los pilotos: entregar al agente credenciales personales, claves estáticas o tokens amplios para avanzar rápido. Esa solución rompe la atribución de responsabilidades y permite que una credencial sobreviva al encargo que la justificó. Su recomendación de partida es tratar al agente como una entidad propia, con identificador, credenciales y permisos vinculados al usuario o sistema en cuyo nombre actúa.
Cloud Security Alliance describe la misma tensión en sistemas donde los agentes aparecen y desaparecen, eligen herramientas y delegan subtareas. Su análisis relaciona la identidad débil con suplantación, repetición de mensajes de delegación y abuso de privilegios. La coincidencia no valida por sí sola la arquitectura de la Blueprint Alliance, pero sí confirma que el problema no procede únicamente del discurso comercial de Okta.
El acuerdo y los productos no son lo mismo
La alianza publica una arquitectura de referencia; Okta, al mismo tiempo, vende una implementación propia. En Oktane 2026 la compañía presentó Agent SSO, conexiones entre agentes y campañas de revisión de acceso como funciones disponibles, mientras situó otras capacidades —como Agent Gateway, descubrimiento de agentes no autorizados en equipos y una ampliación del interruptor de emergencia— en su hoja de ruta.
Esa separación es importante para leer el anuncio con precisión. Que doce empresas participen en un marco común no significa que sus productos ya intercambien identidades, señales de riesgo y órdenes de contención sin trabajo adicional. Tampoco convierte las funciones futuras de Okta en prestaciones entregadas. La propia compañía advierte de que los elementos anunciados pero no disponibles pueden cambiar o no llegar en el plazo previsto.
Qué significa para empresas y pymes en España
Para una empresa española, el efecto inmediato no es una obligación nueva ni una compra automática. La utilidad está en disponer de un lenguaje común para evaluar un agente que conecta correo, CRM, documentos, nube o herramientas internas. Si un proveedor no puede explicar la identidad utilizada, el alcance temporal del permiso, la cadena de delegación y el mecanismo de revocación, el problema sigue abierto aunque el producto incluya controles de seguridad generales.
La arquitectura también puede reducir una dependencia frecuente: diseñar todos los controles alrededor de una única plataforma. La promesa multivendor solo tendrá valor si las integraciones conservan el contexto de quién pidió la tarea, qué autoridad se delegó y qué acción terminó ejecutándose. Las pymes, con menos equipos especializados, necesitan especialmente que esa trazabilidad llegue integrada y no dependa de reconstruir registros incompatibles después de un incidente.
El anuncio no detalla una adaptación específica a España o a la Unión Europea. Por eso no conviene presentarlo como respuesta automática a requisitos legales. Identidad, minimización de acceso y trazabilidad pueden aportar evidencia útil, pero la base jurídica, la protección de datos, la supervisión y las responsabilidades siguen dependiendo del caso de uso y de la normativa aplicable.
Una referencia abierta todavía pendiente de prueba
La Blueprint Alliance nace impulsada por proveedores que también comercializan las plataformas afectadas. Esa experiencia aporta capacidad técnica, pero crea un límite evidente: el marco debe demostrar que funciona entre productos competidores y que no termina favoreciendo una arquitectura comercial concreta. Por ahora es una referencia industrial, no un estándar ratificado, una certificación independiente ni una auditoría de seguridad.
También queda por resolver la diferencia entre identificar un agente y comprender su intención. Una identidad correcta puede ejecutar una acción equivocada si recibe una instrucción manipulada, interpreta mal el objetivo o utiliza una herramienta permitida fuera de contexto. Los controles de identidad acotan el alcance y mejoran la atribución; no sustituyen las pruebas, la validación de reglas de negocio, la protección frente a inyección de instrucciones ni la revisión humana en acciones de alto impacto.
Lo que conviene vigilar a partir de ahora
La primera señal será documental: especificaciones públicas suficientemente precisas para que terceros implementen y prueben la arquitectura sin depender de un único miembro. Después llegará la prueba operativa: integraciones entre identidades, nubes, aplicaciones y herramientas de seguridad que mantengan permisos de corta duración, delegación verificable y una revocación realmente coordinada.
También habrá que observar si la alianza incorpora organizaciones europeas, publica resultados de pruebas independientes y explica cómo se relaciona con estándares ya existentes como OAuth, OpenID Connect o identidades de cargas de trabajo. Si esos pasos llegan, el anuncio puede convertirse en infraestructura compartida. Si no, seguirá siendo una declaración útil sobre el problema, pero insuficiente para resolverlo.
