ServiceNow da a cada agente de IA un pasaporte firmado. Lo que cuenta es quién lo revisa en la puerta

Pregúntele a un agente de terceros qué se le permite hacer y se lo dirá. Esa respuesta vale exactamente lo mismo que la honestidad del agente y la integridad de su prompt, es decir, no mucho en un flujo de trabajo de producción donde el agente lee documentos, correos y resultados de herramientas escritos por personas que usted nunca ha conocido.

El AI Passport de ServiceNow, anunciado el 15 de octubre, se construye en torno a ese problema. Cada agente recibe una credencial firmada criptográficamente, emitida por Super Intelligence Control Tower de ServiceNow, que declara su alcance autorizado. El alcance se basa en el CMDB, las políticas de GRC y las aprobaciones de workflow, y los agentes presentan la credencial en el runtime, en entornos como OpenShell de NVIDIA. La frase de ServiceNow para agentes de terceros es la importante: un registro de permisos verificable “en lugar de confiar en las propias ‘afirmaciones’ del agente de IA sobre sus permisos”.

AI Passport, junto con la detección de shadow AI y AI Cost Management, se espera en Q4 2026. La solución Operational Resilience para servicios financieros, anunciada el mismo día, ya está disponible.

Una credencial es una afirmación que se puede verificar

Un pasaporte firmado cambia la pregunta de “¿qué dice el agente que puede hacer?” a “¿qué firmó la empresa que puede hacer?”. Tres características del anuncio importan más que la criptografía:

• Delegación con alcance que se reduce en cada paso. Cuando un agente pasa trabajo a otro, el segundo nunca debería heredar más de lo que tenía el primero. ServiceNow afirma que la delegación se reduce paso a paso en flujos de trabajo multiagente. Esa es la propiedad que más falta hoy en las cadenas de agentes propias.
• Revocación precisa. Una credencial que se puede retirar para un agente, un alcance, sin volver a desplegar nada, es lo que hace ejecutable un plan de incidentes.
• Respuestas graduadas. Cuando un agente se sale de su alcance, ServiceNow describe redirigirlo, restringirlo o reconectarlo con el contexto adecuado, con un kill switch como último paso.

El punto de control es el producto

Un pasaporte no detiene nada por sí solo. Alguien tiene que inspeccionarlo en el punto donde ocurre una acción: el gateway de herramientas, el runtime, la API frente al sistema de registro. Si el agente puede alcanzar una herramienta sin pasar por un punto de control que verifique la credencial, el pasaporte es documentación.

ServiceNow parece saberlo. NVIDIA es el socio de diseño y lanzamiento, y ServiceNow dice que está construyendo “una implementación de aplicación lista para producción” sobre Open Agent Safety Platform de NVIDIA, con el runtime OpenShell y el framework de seguridad Sentry. La cita de NVIDIA lo dice sin rodeos: asegurar agentes “exige aplicación en la capa de infraestructura”. Esa implementación es trabajo anunciado, no un producto enviado, y el resto de su entorno no se ejecutará en OpenShell.

Quién emite, quién lleva, quién revisa

Emisor

• Control Tower firma el alcance
• Basado en CMDB, GRC y aprobaciones
• Revoca por agente

Agente

• Lleva el pasaporte
• Entrega alcance más estrecho a subagentes

Punto de aplicación

• Runtime o gateway de herramientas
• Verifica firma y alcance
• Bloquea, restringe o detiene

Esta es la separación que describimos en seis autoridades independientes sobre un agente: quien decide el alcance y quien lo aplica deberían ser distintos, y la aplicación tiene que vivir fuera del agente. AI Passport formaliza la primera mitad. La segunda mitad depende de lo que esté en su ruta de tráfico.

Especificaciones abiertas, preguntas abiertas

ServiceNow dice que AI Passport se basa en especificaciones abiertas, para que “cualquier producto de gobernanza, proveedor de identidad o punto de aplicación” pueda emitir y verificar credenciales. Esa es la ambición correcta para un entorno multi-proveedor, y debería probarse antes de darla por sentada. El anuncio no nombra las especificaciones, y un formato abierto no garantiza que sus frameworks de agentes, gateways y proveedor de identidad lo verifiquen.

Preguntas que vale la pena plantear a ServiceNow, o a cualquier proveedor que ofrezca credenciales para agentes:

1. ¿Qué puntos de aplicación verifican el pasaporte hoy y cuáles están planificados?
2. ¿Cómo se relaciona el pasaporte con la identidad del agente en su proveedor de identidad? Dos autoridades paralelas para un agente son un problema de conciliación esperando ocurrir.
3. ¿Con qué rapidez se propaga la revocación y qué pasa con una acción que ya está en curso?
4. ¿Es el registro del CMDB detrás del alcance lo suficientemente preciso como para autorizar algo? Una credencial basada en datos de configuración obsoletos firma permisos obsoletos.

Ese último punto es fácil de saltarse. La calidad de una autorización está limitada por los datos con los que se calcula. Muchas empresas saben que su CMDB es la tabla en la que menos confían.

Dónde deja esto a los compradores

La evidencia de cliente en el comunicado es sobre inventario, no sobre aplicación: el CISO de LTM dice que la empresa ha desplegado 1,500 agentes, cada uno con un ID de empleado y un manager, y usa la control tower de ServiceNow como su sistema de registro. Ese es el expediente de agente que argumentamos que todo agente en producción necesita. AI Passport intenta hacer ejecutable el expediente.

Si usted ejecuta agentes en varias plataformas, el movimiento útil antes del Q4 es un mapa: cada ruta por la que un agente puede llegar a una acción trascendente, y si un punto de control que usted controle está en ella. Donde lo hay, se puede verificar un alcance firmado. Donde no, ningún formato de credencial ayudará, y esa brecha es lo primero que hay que arreglar.