Aviatrix lanza Clearance para contener cargas de trabajo de nube e IA comprometidas

Aviatrix ha lanzado Clearance, una solución de seguridad en la nube diseñada para limitar los daños que puede causar una carga de trabajo comprometida, restringiendo los destinos y otras cargas de trabajo a los que puede acceder. Su propuesta central es tanto operativa como técnica: los equipos de seguridad pueden probar una política restrictiva con tráfico real antes de permitir que bloquee conexiones de producción.

Anunciada el 26 de octubre, Clearance combina la contención del tráfico saliente y lateral con una capa automatizada de políticas llamada Aviatrix Active Defense. Además, la empresa ofrecerá a las organizaciones empresariales contención del tráfico saliente, contención lateral y prevención de intrusiones sin límite en el número de cargas de trabajo, mediante un programa temporal de respuesta que se extenderá del 1 de noviembre de 2026 al 1 de mayo de 2027.

Para las organizaciones que implementan agentes de IA junto con aplicaciones de nube convencionales, el problema de fondo tiene consecuencias cada vez más importantes. Es posible que un servicio explotado o un agente manipulado ya tenga credenciales útiles y acceso a la red. Detener la vulneración inicial sigue siendo esencial, pero las conexiones disponibles después ayudan a determinar si la vulneración queda limitada o se propaga.

Denegación predeterminada con una vista previa de las consecuencias

Clearance funciona en Aviatrix Containment Platform, basada en Cloud Native Security Fabric de la empresa. Proporciona a las cargas de trabajo un conjunto explícito de vías de comunicación permitidas y deniega las demás de forma predeterminada.

La contención del tráfico saliente regula las conexiones con destinos externos, definidos por dominio y no solo por dirección de red. La contención lateral regula la comunicación entre cargas de trabajo según su identidad y extiende este modelo a distintas nubes y a recursos como contenedores, funciones sin servidor, bases de datos y agentes de IA.

El desafío de la implementación es que a menudo resulta difícil enumerar por completo las dependencias legítimas de una aplicación. Una regla que parece correcta durante la revisión aún puede interrumpir un servicio de pago, un proceso en segundo plano o una integración que se usa con poca frecuencia.

Clearance aborda ese riesgo con un conjunto de reglas en la sombra (Shadow Rule Set). Primero, una política propuesta se ejecuta en modo de supervisión junto con la política activa y muestra el tráfico que habría denegado, sin bloquear esas conexiones. Los equipos pueden identificar las vías necesarias, revisar los permisos y, después, activar la aplicación de la política. Aviatrix afirma que tanto la aplicación como la reversión requieren una sola acción.

Esto convierte la vista previa en una parte importante del flujo de trabajo, pero no garantiza que un cambio no provoque una interrupción del servicio. El tráfico observado durante un período determinado quizá no incluya el procesamiento de fin de mes, la recuperación ante desastres u otra actividad poco frecuente, pero legítima. Los equipos aún deben elegir períodos de observación y excepciones que reflejen el funcionamiento real de sus aplicaciones.

Cómo se integra la aplicación de políticas de red en las aplicaciones de nube

En el sitio web de su producto, Aviatrix describe una inserción transparente en el nivel de VPC que conserva las direcciones originales sin requerir un agente en el host, un SDK ni cambios en el código de la aplicación. También afirma que las políticas pueden representarse mediante Terraform y recursos personalizados de Kubernetes, y orquestarse en grupos de seguridad y Kubernetes NetworkPolicy cuando no se necesita una puerta de enlace.

Esto es importante porque la infraestructura de nube cambia más rápido que una lista estática de direcciones. Un contenedor puede trasladarse, una función puede escalar y una aplicación puede abarcar varias redes. Expresar la intención en función de la carga de trabajo y los destinos que necesita puede hacer que una política sea más duradera que tratar cada cambio de dirección como una decisión de seguridad independiente.

El objetivo práctico es cerrar las vías de comunicación que podría utilizar un atacante sin obligar a todos los equipos de aplicaciones a adoptar una nueva integración. Sin embargo, la contención de red regula la conectividad: una conexión permitida aún puede transportar actividad dañina. Complementa la aplicación de parches, los controles de identidad, la seguridad de las aplicaciones y la detección, pero no hace innecesarios esos controles.

Active Defense incorpora el mantenimiento automatizado de políticas

Aviatrix Active Defense es la capa autónoma de la solución. Según el anuncio, sus agentes crean un modelo del entorno del cliente, redactan las políticas que necesitan las aplicaciones, las evalúan en modo de supervisión y las mantienen actualizadas a medida que cambian las cargas de trabajo. El equipo de seguridad puede leer y editar las políticas resultantes.

«No puedes resolver esto aplicando parches o detectando amenazas en el tiempo del que dispones, y este ciclo de aplicación de parches coincide con la congelación de cambios por las fiestas», afirmó el director ejecutivo de Aviatrix, Doug Merritt, en el anuncio. Así explicó la decisión de la empresa de ofrecer una protección temporal mediante contención mientras los clientes evalúan y corrigen los sistemas.

El sitio web añade una distinción importante sobre la disponibilidad: Active Defense está en acceso anticipado gratuito para los socios de diseño que usan Aviatrix Enterprise y está previsto que llegue a Aviatrix Cloud. Esto debe distinguirse de la disponibilidad de los controles de contención de Clearance. La página también indica que la automatización funciona dentro de los límites definidos por los equipos y no modifica las reglas redactadas por personas.

El beneficio potencial es reducir el trabajo manual necesario para traducir el comportamiento de las aplicaciones en políticas que puedan hacerse cumplir. El requisito operativo correspondiente es mantener clara la titularidad: las reglas redactadas automáticamente necesitan un proceso definido de revisión y aprobación, sobre todo cuando el comportamiento observado de una aplicación ya puede incluir conexiones no deseadas.

Por qué los agentes de IA hacen que la accesibilidad de red sea más importante

La tecnología de Aviatrix para proteger cargas de trabajo de IA utiliza datos de flujo de red, registros DNS e inventarios de activos en la nube para detectar agentes, puntos de conexión de modelos e infraestructura relacionada. La empresa la describe como una forma de que los equipos de seguridad identifiquen el uso de IA sin depender por completo de que los desarrolladores instrumenten las aplicaciones.

La detección y la contención resuelven problemas distintos. La detección ayuda a determinar qué sistemas existen y con qué se conectan. La contención determina cuáles de esas conexiones siguen siendo posibles una vez aplicada una política.

Pensemos en un agente que necesita un proveedor de modelos y un servicio interno aprobado. Restringir sus rutas de red puede reducir los destinos disponibles para el robo de datos o para obtener acceso adicional si el agente se ve comprometido. Esto no demuestra que sus instrucciones, razonamiento o acciones autorizadas sean seguros; para ello se necesitan controles en otras capas.

Esta distinción concreta la pertinencia del producto para la IA. Clearance limita a qué puede acceder un agente a través de la red, mientras que Active Defense utiliza la automatización para ayudar a mantener esos límites.

El programa gratuito y la disponibilidad estándar

Aviatrix afirma que todas las empresas pueden acogerse a su programa de respuesta, que abarca la contención del tráfico saliente, la contención del movimiento lateral y la prevención de intrusiones en todo su entorno, sin límite de cargas de trabajo, del 1 de noviembre al 1 de mayo. La inscripción a través de AWS Marketplace se abre el 1 de noviembre de 2026.

Los equipos pueden empezar con una evaluación de contención gratuita. El sitio web distingue entre una autoevaluación inicial en el navegador, que ofrece resultados provisionales, y una evaluación posterior de la arquitectura que utiliza datos del cliente. Por tanto, la puntuación inicial debe entenderse como un punto de partida para la investigación, no como un inventario medido de todos los recursos accesibles.

La oferta estándar de Clearance incluye una evaluación y 15 cargas de trabajo en modo de supervisión o aplicación, sin límite de tiempo. La capacidad adicional se cobra por carga de trabajo; Aviatrix ofrece información sobre los precios. El anuncio indica que los dos controles de contención se ofrecen a través de Aviatrix Cloud y también están disponibles en Aviatrix Enterprise.

El lanzamiento aborda un obstáculo persistente para la seguridad empresarial: las organizaciones suelen estar de acuerdo en que las cargas de trabajo deberían tener menos acceso, pero dudan en aplicar restricciones cuando las consecuencias no están claras. La importancia de Clearance radica en vincular ese objetivo de seguridad con un proceso operativo por etapas: observar la política propuesta, resolver las dependencias, aplicarla y conservar una vía clara para revertirla.