Ramutė Varnelytė, CEO de IPXO – Serie de Entrevistas

Ramutė Varnelytė, CEO de IPXO, cuenta con más de 15 años de experiencia en liderazgo comercial y fue nombrada para liderar la empresa a principios de 2025. En su cargo, impulsa el crecimiento estratégico, la excelencia operativa y la posición en el mercado, asegurando que IPXO siga siendo una empresa innovadora en el arrendamiento y gestión de direcciones IP.

IPXO, abreviatura de Organización de Intercambio de Protocolo de Internet, fue fundada en 2021 para abordar la escasez global de IPv4 creando una plataforma de arrendamiento y monetización dinámica. Ha crecido hasta convertirse en el mercado más grande completamente automatizado para el arrendamiento de direcciones IP. La plataforma admite millones de direcciones IP en todo el mundo, respaldada por fuertes relaciones con los Registros de Internet Regionales y una misión de crear un ecosistema de IP unificado y eficiente.

Hablaremos sobre cómo IPXO utiliza perfiles de riesgo basados en el comportamiento y aprendizaje automático para distinguir entre la automatización de AI benigna y la actividad de bots maliciosos. La conversación explorará el auge de los agentes de AI en el tráfico de Internet, los desafíos de ciberseguridad de los proveedores de servicios de Internet y las estrategias para equilibrar la seguridad con la eficiencia operativa.

¿Qué tendencias llevaron a su conclusión de que los agentes de AI, en lugar de solo bots de extracción, ahora dominan los patrones de tráfico en muchas organizaciones?

Los bots están en todas partes ahora, superando con creces el tráfico humano. Más de un tercio del tráfico de bots está compuesto por la llamada “participación de bots malos”, que contribuye a muchas actividades maliciosas. La tendencia es clara en varios informes de incidentes: cuando las empresas investigan tráfico inusual o perjudicial, picos extraños en el uso de API u otras irregularidades, la evidencia muestra que muchos de estos sistemas automatizados se comportan más como agentes de AI, porque pretenden ser diferentes navegadores o dispositivos (spoofing de agente de usuario), cambian rápidamente sus IP (rotación rápida de IP), son inconsistentes en comparación con la actividad típica de extracción de bots, y similares. Básicamente, el volumen de tráfico, así como la complejidad de sus acciones, apuntan a agentes de AI, en lugar de solo bots simples.

¿Qué señales de comportamiento se utilizan para crear perfiles de riesgo de IP, como la frecuencia de solicitudes, los encabezados o los patrones geográficos?

Es posible evaluar la “puntuación de reputación” de una IP sin siquiera mirar el contenido real de las solicitudes, sino solo observando cómo se comporta en la red. Estos patrones irregulares son “independientes del contenido”, lo que significa que no necesitas datos reales. Los metadatos y el comportamiento específico son suficientes para evaluar el perfil de riesgo de la IP. Esto también funciona a escala, ya que el comportamiento sospechoso no está oculto por la moderna cifrado como TLS 1.3 o ECH. Todavía hay mucha data observable que simplemente no se cifra.

¿Cómo distingue su sistema entre la automatización de AI benigna y la actividad maliciosa como la extracción, los botnets o el llenado de credenciales, especialmente sin inspeccionar el contenido de la carga?

Es importante considerar cómo la automatización se comporta durante un período de tiempo, no solo qué contenido está solicitando. Los “buenos” bots suelen ser muy predecibles, tienen una cierta estructura y pasos que siguen. Los bots maliciosos, por otro lado, a menudo saltan de manera impredecible, utilizan identificadores desechables, mantienen un ritmo “similar a una máquina” y distribuyen solicitudes en muchos servidores para evitar la detección. Se reduce a la modelización del comportamiento extendido, evaluando cómo se mueve alrededor del sitio con el tiempo.

¿Podría explicar cómo los proveedores de servicios de Internet existentes luchan para manejar el tráfico de proxy en crecimiento mientras mantienen fuertes defensas contra los ciberataques?

Los protocolos modernos ocultan más detalles de la conexión para aumentar la privacidad, por lo que está volviéndose más difícil y costoso para los proveedores de servicios de Internet evaluar el tipo de tráfico y clasificarlo correctamente. Dado que es más difícil ver qué hay dentro, los proveedores de servicios de Internet confían más en el comportamiento del tráfico, no en el contenido. La lucha radica en el cambio forzado de sus métodos de confiar principalmente en la inspección del tráfico, lo que ha aumentado los costos operativos, e integrar nuevas herramientas de inteligencia de amenazas para adaptarse al nuevo enfoque.

¿Cuáles son las compensaciones de ciberseguridad que enfrentan los proveedores de servicios de Internet si aflojan las restricciones para acomodar el tráfico de agentes de AI?

Aflojar los filtros puede reducir los falsos positivos y la fricción, para mantener los agentes ejecutando tareas de manera fluida. Pero esto también podría aumentar potencialmente el número de amenazas y ataques, ya que la “participación de bots malos” ya constituye una cantidad significativa de tráfico. Los filtros más sueltos igualan mayores riesgos. Una forma de comprometer entre los dos sería el enfoque de puerta de riesgo ponderado. Por ejemplo, si hay tráfico sospechoso, el primer paso podría ser ralentizarlo, en lugar de bloquearlo completamente. Se necesitan controles más matizados.

¿Qué tecnologías básicas alimentan su puntuación de riesgo en tiempo real — ¿están utilizando aprendizaje automático, feeds de inteligencia de amenazas o detección de anomalías de comportamiento?

Utilizamos una mezcla saludable de monitoreo y evaluación de datos en vivo, aprendizaje automático y varias herramientas de inteligencia de amenazas. El objetivo es detectar rápidamente cualquier irregularidad en el comportamiento, entender la intención del tráfico y si hay razones para creer que es perjudicial; si es así, marcar los casos de alto riesgo y tratarlos en consecuencia.

¿Cómo se integra su sistema con los flujos de trabajo de seguridad de la empresa o del proveedor de servicios de Internet existentes — ¿puede activar alertas o mitigación automáticamente?

Sí, nuestro sistema envía alertas a los flujos de trabajo existentes, así como bloquea ciertas amenazas a nivel de red. Puede ejecutarse en varios modos, dependiendo de la tolerancia al riesgo.

¿Ha descubierto este sistema de perfilado algún patrón de ataque o caso de abuso sorprendente durante las pruebas o despliegues iniciales?

Sí, ha habido varios. Un ejemplo en toda la industria podría ser “crawls de alucinación”, cuando los LLM inventan URLs no existentes y luego intentan recuperarlas. O repentinas oleadas de solicitudes, repitiéndose exactamente en los mismos intervalos de tiempo, como 15 minutos o una hora. Todos estos patrones son útiles para nosotros para refinar aún más el seguimiento del comportamiento y reducir los falsos positivos.

¿Cuáles son las implicaciones de privacidad y seguridad de crear perfiles basados en el comportamiento sin inspeccionar el contenido cifrado — especialmente bajo las leyes de protección de datos globales?

Los metadatos de comportamiento pueden considerarse datos personales, pero hay excepciones, por ejemplo, si el interés es legítimo, puede justificarse y es necesario para el monitoreo de seguridad. Dicho esto, el interés en acceder y la cantidad de datos retenidos deben ser proporcionales a los riesgos que se evalúan.

¿Cómo evita falsos positivos que marquen la automatización benigna, como los crawlers de investigación o los agentes de AI con lista blanca, como amenazas cibernéticas?

Probamos nuevas salvaguardas y reglas antes de implementarlas, evaluamos múltiples señales de advertencia antes de tomar cualquier acción, también usamos desafíos suaves primero para probar la legitimidad del tráfico, en lugar de bloquearlo directamente. Es una lista de verificación multilayer, que se ajusta constantemente.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar IPXO.