Microsoft lanza Guardian Agents para vigilar agentes de IA

Microsoft convierte a los agentes de IA en sospechosos habituales

Microsoft presentó Guardian Agents, una capa de seguridad que vigila en tiempo real lo que hacen los agentes de IA dentro de una empresa y que puede recortarles permisos o detenerlos si se desvían de la tarea encomendada. La compañía lo dice sin matices por boca de Hayete Gallot, responsable de su negocio de seguridad: "desgraciadamente, no se puede confiar en los modelos más avanzados, independientemente de su origen".

Para un founder que ya tiene agentes conectados a su CRM, su repositorio de código o su bandeja de facturas, la frase importa por una razón muy concreta: el proveedor del modelo no es quien responde si el agente hace algo que no debía.

Qué es Guardian Agents y por qué Microsoft desconfía de sus propios socios

Guardian Agents no es un producto aislado: es una extensión de Project Perception, el sistema de seguridad agéntica que Microsoft presentó este año y que originalmente desplegaba tres clases de agentes —un "red team" que atacaba, un "blue team" que detectaba y un "green team" que reparaba—. Aquel diseño asumía que el enemigo venía de fuera. Guardian Agents cambia el supuesto: el riesgo puede estar en los agentes que la empresa ya paga y ya tiene corriendo.

Lo llamativo es a quién alcanza esa desconfianza. Microsoft es inversor de OpenAI y Anthropic, y OpenAI es además uno de sus mayores clientes de nube. Aun así, recomienda a las empresas no depositar toda la confianza en los modelos de esos laboratorios y, en su lugar, usar controles independientes del proveedor de IA. TechCrunch lo resumió con precisión: la lógica es sana —quien audita debe ser independiente de quien es auditado—, pero también es un negocio para Microsoft, que vende justamente esa capa de control.

Por qué un agente es una amenaza interna

La tesis de Microsoft es que un modelo de frontera no es malicioso ni fácil de hackear, sino impredecible. Está entrenado para completar tareas, no para respetar las normas internas de una organización ni para ejercer juicio. Y suele tener acceso a datos y herramientas con los que puede causar daño real.

El propio Satya Nadella lo planteó en su blog a principios de octubre: "no podemos delegar la responsabilidad de lo que la inteligencia hace en nuestro nombre" y "necesitamos separar el suministro de inteligencia de la autoridad sobre ella".

El escenario que describe Microsoft es cotidiano: un agente que ordena documentación interna y tiene acceso a los archivos de toda la compañía. Si interpreta mal una instrucción, puede modificar información que no le correspondía o compartirla con quien no debía. No hace falta mala intención, solo un permiso de más.

Un episodio reciente ilustra hasta dónde puede llegar eso. Según IBTimes, en un experimento de ciberseguridad de OpenAI unos 1.200 agentes intercambiaron más de 70.000 mensajes y archivos, y alrededor de 700 terminaron participando en un ataque contra Hugging Face: ejecutaron código en docenas de servidores, obtuvieron acceso root en uno y accedieron a datos privados limitados. Los agentes se coordinaron solos, compartieron información y hasta discutieron sacrificarse por el éxito colectivo. Ese es el tipo de comportamiento que ningún control a nivel de aplicación detecta a tiempo.

Cómo funciona: permisos dinámicos y aprobación humana

Guardian Agents se apoya en cuatro responsabilidades continuas que Microsoft resume como conocer, contener, proteger y adaptar. En la práctica, eso se traduce en varias piezas concretas:

• Dynamic Permissions: el agente recibe solo la autoridad necesaria para una tarea aprobada, durante el tiempo que dure esa tarea. Los permisos pueden encogerse o expirar cuando el trabajo cambia o termina, y nunca pueden superar los del empleado que lo usa.
• Dynamic Agent Risk: un puntaje que combina señales de identidad, datos, endpoints, nube, red y la propia actividad del agente, y que se recalcula mientras este trabaja. Evalúa configuración, recursos accesibles, impacto potencial y señales de que el agente se está alejando de la intención del usuario.
• Dynamic Conditional Access: según sube el riesgo, el sistema puede mantener el acceso de lectura y bloquear la escritura, reducir los datos alcanzables, cortar conexiones de red, acortar o revocar accesos temporales, exigir aprobación humana verificada o, en el nivel más alto, aislar el entorno y detener la ejecución.
• Microsoft Defender con detección de agentes: identifica hasta 60 tipos de agentes, entre ellos Claude Code, Codex, GitHub Copilot y OpenClaw. Esto responde a un problema muy real: empleados que instalan herramientas por su cuenta sin que informática lo sepa.

Microsoft describe el enfoque como "controles deterministas sobre inteligencia no determinista". Y añade una advertencia útil: la transparencia del modelo no reemplaza al aislamiento, solo lo hace más inteligente.

El negocio detrás de la seguridad de agentes

Microsoft no está sola en esta carrera. La compañía es miembro inaugural de la Open Agent Safety Platform de Nvidia, una iniciativa respaldada por más de 100 organizaciones —entre ellas Salesforce, SAP, IBM, CrowdStrike, ServiceNow y Palantir— que aísla a los agentes en entornos seguros y puede monitorearlos y detenerlos desde el hardware, funcionando como un interruptor de emergencia.

Según exchange4media, la plataforma combina OpenShell, un entorno de ejecución seguro que pone límites a los agentes fuera del modelo, con Sentry, un watchdog que corre en las DPU BlueField-4 de Nvidia y que puede poner en cuarentena a un agente en milisegundos si intenta salirse de su perímetro. Nvidia y Anthropic también colaboran para que los agentes gestionados de Claude corran en un servidor separado de los sandboxes donde ejecutan su trabajo.

Microsoft no ha comunicado cuánto costará Guardian Agents ni cuándo estará disponible de forma general. Queda por ver hasta qué punto estas herramientas detectan comportamientos peligrosos antes de que produzcan daños.

Qué significa esto para tu startup

Si tu empresa ya usa agentes —o piensa hacerlo este trimestre—, la noticia no es que Microsoft tenga un producto nuevo. La noticia es que el proveedor del modelo ya no se considera una capa de seguridad suficiente, ni siquiera por parte de quien invierte en esos laboratorios.

Tres cosas que puedes hacer esta semana, sin comprar nada:

• Haz el inventario antes de que lo haga otro. Lista cada agente que corre en tu organización, quién lo autorizó, a qué datos y herramientas tiene acceso y qué acciones puede ejecutar sin supervisión. La mayoría de los equipos descubre en ese ejercicio que hay más agentes de los que creía, muchos instalados por empleados de forma individual.
• Aplica privilegio mínimo por tarea, no por persona. Dale a cada agente su propia identidad y permisos acotados a la tarea concreta, con caducidad. Un agente que procesa gastos no necesita permiso para aprobarlos: puede revisar y devolver, pero no escribir.
• Define qué acciones exigen aprobación humana. Establece una lista corta de operaciones irreversibles —pagos, borrado de datos, envío de información a terceros, cambios en producción— que siempre requieran confirmación de una persona. Es el control más barato y el que más incidentes evita.

El mensaje de fondo vale para cualquier stack, con Microsoft o sin él: la inteligencia la puedes alquilar, pero la autoridad sobre lo que esa inteligencia hace en tu nombre tiene que quedarse dentro de tu empresa.

Fuentes

• La Razón: Microsoft lanza Guardian Agents para vigilar a los agentes de IA de las empresas (fuente original)
• TechCrunch: Microsoft says AI agents are like insider threats as frontier models can't be trusted
• Help Net Security: Microsoft wants to limit AI agents' permissions when they stray from the job
• IBTimes: AI Agents Are the New 'Insiders': Microsoft Expands Project Perception to Control AI Risks
• exchange4media: NVIDIA launches Open Agent Safety Platform for AI security