Cómo elegir un producto japonés de seguridad con IA

Por ejemplo, un equipo que quiere reducir las inyecciones SQL en un SaaS antes de su lanzamiento y otro que necesita organizar el gran volumen de alertas que recibe cada día deberían elegir productos diferentes. Para el primero, lo principal es el análisis de código o la evaluación de aplicaciones web; para el segundo, el apoyo a la supervisión y la investigación. Proteger la propia IA generativa es otro caso distinto: requiere revisar cómo se gestionan los prompts y los datos externos.

Para facilitar la comparación, este artículo presenta productos y servicios de proveedores con sede en Japón. Esto no significa que sus componentes o modelos de IA se hayan desarrollado en Japón, ni que los datos se procesen allí. Los siguientes ejemplos son un punto de partida para la selección, no una lista exhaustiva de todos los productos.

Si quieres revisar código durante el desarrollo, Hi AUDIT Agent, de TECHFUND, permite solicitar un análisis de seguridad del código desde un entorno de desarrollo conectado mediante MCP. Un uso posible consiste en revisar los problemas señalados y las propuestas de corrección, y dejar que los desarrolladores verifiquen las correcciones.

Si quieres evaluar de forma continua tanto el código como las aplicaciones en funcionamiento, Takumi byGMO, de GMO Flatt Security, ofrece evaluaciones basadas en el código, evaluaciones de caja negra y propuestas de corrección. También anuncia evaluaciones periódicas de los cambios en GitHub, por lo que puede valer la pena consultarlo si tu equipo da prioridad a la integración con el flujo de desarrollo.

Si quieres evaluar una aplicación web desde fuera, AeyeScan, de Aeye Security Lab, es una herramienta en la nube que utiliza IA para automatizar las evaluaciones. Conviene probar con la configuración real y la aplicación que se vaya a evaluar si puede recorrer también las pantallas accesibles tras la autenticación.

Si no puedes sacar datos confidenciales de tu entorno, Purple Agent, de CoWorker, anuncia evaluaciones de vulnerabilidades y análisis forenses mediante un LLM local instalado en tus propias instalaciones. Comprueba de antemano los requisitos del entorno de implantación y la estructura operativa necesaria.

Para gestionar el uso de IA generativa por parte del personal, Layer Base de Layer Security inspecciona en el dispositivo las entradas y los archivos adjuntos del navegador y puede advertir, sustituir o bloquear según las reglas. La empresa también describe controles para operaciones compatibles de agentes de IA. Confirma qué navegadores y operaciones admite y evalúa esta necesidad por separado de la protección en ejecución de aplicaciones con IA.

Si quieres reducir la carga de la supervisión de seguridad, CTC-MSS AI SOC, de ITOCHU Techno-Solutions, ayuda a detectar e investigar amenazas y a proponer respuestas mediante IA. Aunque el servicio lo ofrece una empresa japonesa, su base tecnológica utiliza productos de la empresa estadounidense Exaforce.

Al comparar los resultados de las evaluaciones con IA, es difícil determinar cuál es mejor basándose únicamente en el número de problemas encontrados. Una prueba que se detuvo en la pantalla de inicio de sesión y otra que llegó a las pantallas correspondientes a distintos niveles de permisos no han examinado el mismo alcance. En el análisis de código, comprueba también qué repositorios y lenguajes se incluyeron, y si se cubrió el recorrido desde el punto de llamada hasta la base de datos.

Haz las pruebas sobre la misma aplicación autorizada y la misma revisión, y compara si se detectaron los problemas conocidos, si se puede rastrear el fundamento de los hallazgos y si es posible volver a comprobarlos después de corregirlos. Definir también quién se responsabiliza de verificar los resultados y de realizar las correcciones ayuda a evitar que la herramienta deje de utilizarse después de su implantación.

Aunque el proveedor sea una empresa japonesa, el lugar donde se almacenan los datos de entrada, la región donde se realiza la inferencia y su uso para entrenar modelos externos son condiciones distintas. Antes de entregar código confidencial o registros, consulta el contrato y la documentación más reciente para comprobar también el plazo de conservación, el método de eliminación y los subcontratistas.

Comprueba por separado las condiciones relativas a los datos. AeyeScan indica que almacena los datos de sus clientes en la región de Japón de AWS, mientras que explica que los datos en Azure de su opción de IA generativa se eliminan automáticamente tras conservarse durante un máximo de 60 días desde su uso. En nuestro servicio, explicamos que TECHFUND no utiliza los datos para entrenamiento, pero que los modelos externos seleccionados podrían utilizarlos con ese fin. El almacenamiento en Japón, el uso para entrenamiento, el plazo de conservación y la región de procesamiento no son la misma condición.