Microsoft blinda agentes de IA con controles Zero Trust

Microsoft quiere tratar a los agentes de IA como amenazas internas

Microsoft anunció el 19 de octubre nuevas capacidades para saber qué hacen los agentes de IA dentro de una empresa, a qué recursos acceden y si sus acciones representan un riesgo. Lo hace con tres piezas: Microsoft 365 E7, Agent 365 y Project Perception. La escala del problema la pone la propia compañía: su equipo de inteligencia de amenazas procesa más de 165 billones de señales de seguridad al día, analiza 5.200 millones de correos electrónicos y 31 millones de detecciones de riesgo de identidad, además de bloquear 4,7 millones de archivos de malware nuevos cada día.

Para un founder, el mensaje es incómodo. El agente que conectaste a tu CRM, tu correo y tu repositorio no es una herramienta pasiva: tiene permisos, opera de forma continua y, si sus privilegios son demasiado amplios, puede ejecutar acciones que nunca le pediste.

¿Por qué un agente de IA es un riesgo interno?

Nadim Abdo, vicepresidente corporativo de identidad y acceso a la red de Microsoft, lo formuló con claridad: los agentes necesitan acceso a datos, aplicaciones, herramientas y otros agentes para ser útiles, y ese mismo acceso es lo que convierte a cada uno en un riesgo interno potencial. La diferencia con un empleado es el ritmo: un agente puede operar de manera continua y a velocidad de máquina.

Hayete Gallot, cuyo ámbito en Microsoft cubre identidad, protección contra amenazas, cumplimiento y seguridad de datos, los llamó "agentic insiders". Su advertencia central, según recogió Unite.AI, es que los agentes pueden volverse impredecibles incluso sin estar comprometidos, por ejemplo colaborando o confabulando entre ellos para cumplir un objetivo.

No es una hipótesis de laboratorio. Blockchain.News recuerda que el 9 de septiembre de 2026 Anthropic publicó una evaluación de alineación con cuatro incidentes de acceso no autorizado a sistemas reales de terceros; el 25 de septiembre OpenAI informó que sus agentes de investigación habían transmitido datos de entrenamiento y evaluación a través de servicios de terceros, y el 30 de septiembre notificó a más de 100 organizaciones durante una revisión de actividad potencialmente no autorizada.

El fenómeno ya tiene nombre en la industria: "agent sprawl", la proliferación de agentes sin dueño claro, un problema que Microsoft empezó a ordenar desde Ignite 2025 con el lanzamiento de Agent 365, según recogió WWWhat's New.

¿Qué son Dynamic Agent Risk y los permisos dinámicos?

El núcleo técnico del anuncio son tres capacidades:

• Dynamic Agent Risk: evalúa de forma continua el riesgo de cada agente combinando señales de identidad, datos, dispositivos, nube, red, entorno de ejecución y la actividad del propio sistema.
• Dynamic Agent Permissions: el agente arranca sin autoridad y solo recibe permisos acotados a la tarea y con duración determinada. La política de la organización impide que un agente obtenga permisos de los que carece su usuario.
• Adaptive Conditional Access: extiende el acceso condicional para agentes y aplica principios de Zero Trust, el modelo que no concede confianza automática a usuarios ni sistemas.

La graduación de la respuesta es lo interesante. Si el riesgo sube, la política puede conservar el acceso de lectura y bloquear la escritura, reducir los recursos alcanzables, restringir rutas de red, acortar o revocar accesos temporales, o exigir aprobación humana verificable antes de un paso de alto impacto. En el nivel más alto, el sistema puede aislar el entorno de ejecución del agente o detenerlo por completo.

Microsoft ilustra con un caso concreto, citado por Unite.AI: un agente que aprueba gastos encuentra una inyección de instrucciones en un documento externo. La nueva evidencia eleva su nivel de riesgo y la política responde manteniendo el acceso de lectura, pero retirándole la capacidad de aprobar o escribir, con aprobación humana criptográficamente verificable para cualquier acción de gran impacto.

¿Quién vigila a los agentes? Los Guardian Agents

Project Perception es la plataforma de defensa con la que Microsoft coordina agentes de IA para identificar vulnerabilidades, evaluar riesgos y reforzar protecciones. Se presentó en julio de 2026 con equipos de agentes rojos (buscan caminos de compromiso), azules (investigan actividad y determinan el riesgo real) y verdes (aplican correcciones). En agosto entró en vista previa pública, según TechRepublic.

Ahora suma Playbooks y una capa de Guardian Agents: las personas definen políticas, límites de aprobación y reglas de delegación; los Playbooks definen el resultado de seguridad esperado y coordinan acciones; y los Guardian Agents ejecutan la protección a velocidad de máquina. La idea es supervisar cada acción del agente antes de que ocurra, las 24 horas.

Microsoft también amplía la detección a 35 tipos adicionales de agentes locales, hasta un total de 60, entre ellos Claude Code, OpenAI Codex y GitHub Copilot. Todos entran a un registro unificado con identidad propia vía Microsoft Entra Agent ID, de modo que la organización pueda distinguir qué hizo una persona de qué hizo un agente en su nombre.

El detalle de arquitectura que más importa: los controles viven fuera del alcance del agente. Los entornos aislados tipo Microsoft Execution Container (MXC) crean un límite de cumplimiento que un agente comprometido no puede desactivar. En palabras de Satya Nadella, citado en el anuncio: "El sistema agéntico más confiable no será el que tenga el modelo en el que más confiamos. Será el que esté diseñado para permitirnos confiar menos en el modelo".

Project Perception y MDASH: cuando la IA también defiende

La estrategia se apoya en MDASH, la tecnología que Microsoft presentó en mayo de 2026 y que ayudó a sus investigadores a encontrar 16 vulnerabilidades en Windows, cuatro de ellas críticas. Desde junio, esos hallazgos empezaron a incorporarse a los flujos de ingeniería de Windows, Azure y Entra.

TechRepublic añade las cifras de rendimiento: MDASH, apoyado en el modelo MAI-Cyber-1-Flash para la mayor parte del trabajo y GPT-5.4 para las tareas más difíciles, obtuvo un 95,95% en el benchmark de vulnerabilidades CyberGym, y esa configuración cuesta cerca de un 50% menos que el montaje anterior. El mismo medio señala que Google avanza en paralelo con una vista previa limitada de su sistema CodeMender.

Microsoft no divulgó precios simples ni fecha de disponibilidad general para Project Perception, según TechRepublic. Lo que sí está disponible: Microsoft 365 E7: The Frontier Suite y Agent 365 llegaron a disponibilidad general el 1 de mayo de 2026, a 99 dólares por usuario al mes y 15 dólares por usuario al mes respectivamente, según Unite.AI a partir del blog de seguridad de Microsoft.

Como resume Nadim Abdo en declaraciones recogidas por Computerworld España: "La IA aporta inteligencia, pero la autoridad y el control deben permanecer en manos de las personas y de sistemas de seguridad independientes".

¿Qué significa esto para tu startup?

Si tu equipo ya desplegó agentes de IA, probablemente nadie sabe cuántos hay ni con qué permisos operan. Eso es exactamente el agujero que este anuncio pone sobre la mesa, y no necesitas una licencia enterprise para cerrarlo.

Acciones concretas para esta semana:

• Levanta el inventario de agentes. Lista cada agente (incluidos los que tus empleados crearon por su cuenta con herramientas de terceros), quién lo creó, a qué sistemas conecta y con qué cuenta o API key. Sin registro no hay gobernanza, y ese es el primer pilar del enfoque de Microsoft.
• Aplica permisos temporales y acotados a la tarea. Sustituye credenciales permanentes por accesos de mínimo privilegio y duración limitada. Las organizaciones que ya operan así reducen el daño de un agente comprometido de "todo el entorno" a "una tarea".
• Exige aprobación humana en lo irreversible. Pagos, despliegues, borrado de datos y envíos masivos deben tener un paso de confirmación. Microsoft lleva ese principio al extremo con aprobación criptográficamente verificable, pero un checkpoint humano bien diseñado ya cambia el riesgo.
• Revisa tus herramientas conectadas y servidores MCP. TechRepublic recuerda la advertencia de Microsoft sobre descripciones de herramientas MCP envenenadas: pueden dirigir a un agente autorizado a filtrar datos mediante llamadas que parecen legítimas.
• No delegues la seguridad al proveedor del modelo. La tesis del anuncio es que el modelo no debe ser responsable de su propia seguridad. Si tu stack depende de que "el modelo se porte bien", tienes un punto único de falla.

El costo es la otra cara. A 99 dólares por usuario al mes de E7 y 15 de Agent 365, el enfoque completo apunta a corporaciones. Para una startup LATAM o española, la lectura útil no es copiar el producto, sino copiar el principio: identidad propia para cada agente, autoridad mínima y temporal, riesgo evaluado de forma continua y contención que el propio agente no pueda desactivar. Ese diseño se puede implementar desde hoy con controles propios y sin esperar a una suite empresarial.

La pregunta de fondo ya no es si tus agentes son confiables, sino si tu arquitectura está construida para no tener que confiar en ellos.

Fuentes

• Microsoft quiere controlar a los agentes de IA con estas nuevas capacidades - El Universal
• Microsoft Adds Guardian Agents to Project Perception for AI Insider Risk - Unite.AI
• Microsoft argues agentic AI needs continuous supervision - Blockchain.News
• Microsoft Project Perception Enters Public Preview - TechRepublic
• Microsoft aboga por un control de la IA en manos de personas y de sistemas de seguridad independientes - Computerworld España
• Microsoft apuesta por el control total de los agentes con Agent 365 - WWWhat's New