Microsoft: agentes de IA son la nueva amenaza interna

Microsoft pone a los agentes de IA en la lista de sospechosos

60 tipos de agentes de IA locales pueden ser detectados hoy por las herramientas de seguridad de Microsoft, según la propia compañía, que el 19 de octubre presentó Guardian Agents, un sistema para vigilar lo que hacen los agentes dentro de una empresa. La cifra no es un detalle técnico: mide cuánto software con permisos reales corre en las máquinas del equipo, muchas veces sin que nadie lo haya inventariado.

El mensaje central es incómodo para cualquier founder. Un agente al que le das acceso a tus archivos, a tus herramientas y a tus procesos deja de ser una función del producto y pasa a comportarse como un empleado con privilegios. Y como cualquier insider, puede equivocarse, ser manipulado o actuar en contra de lo que la organización espera.

La diferencia con un chatbot es la clave. Un chatbot responde; un agente consulta datos, conecta servicios y ejecuta acciones en nombre de una persona. Cuando esa capacidad se combina con permisos amplios, el error deja de ser un mensaje equivocado y se convierte en una operación real: un pago aprobado, un dato compartido, un proceso alterado.

¿Por qué Microsoft dice que los modelos de IA no son confiables?

Hayete Gallot, responsable de seguridad de Microsoft, lo planteó sin rodeos al presentar la actualización: los modelos de frontera, sin importar de dónde vengan, no pueden ser confiados. No porque sean maliciosos ni fáciles de vulnerar, sino porque son impredecibles. Están entrenados para alcanzar objetivos, no para respetar las normas ni el criterio de una organización.

El diagnóstico que acompaña esa advertencia es el de siempre en seguridad: privilegios excesivos. Según Gallot, los agentes llegaron a las empresas a escala y con más permisos de los que necesitan. Ese exceso es lo que convierte un fallo puntual en un problema que se propaga por sistemas a los que un atacante externo difícilmente llegaría.

Satya Nadella, CEO de Microsoft, había anticipado el argumento en un ensayo del 10 de octubre citado por SiliconANGLE: hay que dejar de confiar en los proveedores de modelos aunque prometan seguridad en sus productos agénticos. Su fórmula es simple: separar el suministro de inteligencia de la autoridad sobre ella. La idea de fondo es que quien provee el modelo no debería ser también quien audita lo que ese modelo hace con tus datos.

Otro vector que menciona la compañía es la manipulación. Un agente puede encontrarse con instrucciones maliciosas escondidas en un documento o en una página web y actuar sobre ellas si no existen controles independientes. No hace falta un pirata informático: basta con que el agente lea el archivo equivocado.

¿Qué son los Guardian Agents y cómo cambian los permisos?

Guardian Agents vive dentro de Project Perception, el sistema de seguridad agéntica que Microsoft presentó a mediados de 2026 con tres equipos de agentes —red team, blue team y green team— pensados para ataques que venían de afuera. La actualización de octubre gira el lente hacia adentro, según CryptoBriefing: la amenaza ya no es solo el atacante en la puerta, sino el asistente que ya está sentado en el escritorio.

El mecanismo funciona así, de acuerdo con la documentación que resume Unite.AI:

• Identidad propia para cada agente. Microsoft extiende Entra Agent ID para que cada agente tenga su propia identidad, de modo que la empresa pueda distinguir qué hizo una persona de qué hizo un agente en su nombre.
• Dynamic Permissions. El agente arranca sin autoridad y recibe permisos acotados a una tarea y con tiempo limitado, dentro de un límite organizacional que le impide tener más poder que la persona para la que trabaja.
• Dynamic Agent Risk. Un puntaje que se actualiza de forma continua combinando señales de identidad, datos, endpoints, nube, red y del propio comportamiento del agente, y que sube cuando sus acciones se desvían de la intención de su usuario o de la organización.
• Respuesta gradual. Ante un riesgo mayor, la política puede mantener la lectura pero bloquear la escritura, reducir los datos alcanzables, acortar o revocar accesos temporales, exigir aprobación humana verificable o aislar y detener la ejecución.
• Sandbox de ejecución. El contenedor Microsoft Execution Container crea una frontera de control fuera del alcance del agente, para que un agente comprometido no pueda desactivar la vigilancia que lo mira.

El ejemplo que da Microsoft es concreto: un agente que revisa gastos se topa con una prompt injection en un documento externo. La evidencia nueva eleva su riesgo y la política responde conservando su acceso de lectura pero quitándole la capacidad de aprobar pagos, además de exigir autorización humana para el paso de alto impacto.

El negocio detrás de la advertencia

Hay un detalle que conviene leer con distancia: Microsoft no solo advierte, también vende la solución. TechCrunch señala la tensión evidente —la compañía invirtió en OpenAI y en Anthropic, y aun así sostiene que sus modelos no son confiables— y el interés comercial detrás: que las empresas compren la capa de seguridad de agentes al proveedor de nube en lugar de a los laboratorios que fabrican los modelos.

El paquete donde se integran estas capacidades es Microsoft 365 E7, que según Unite.AI está disponible desde el 1 de mayo de 2026 a un precio de lista de US$99 por usuario por mes, junto con Agent 365, el plano de control para gobernar agentes, a US$15 por usuario por mes. SiliconANGLE aclara que Microsoft no dio fechas de disponibilidad ni precios para los controles nuevos, y que apunta a su evento Ignite, que abre el 17 de noviembre, para más detalles.

El movimiento no es aislado. Microsoft fue miembro inaugural de la Open Agent Safety Platform de Nvidia, que según TechCrunch sumó el respaldo de más de 100 empresas tecnológicas y aísla agentes en entornos seguros con la capacidad de detener su comportamiento a nivel de hardware, algo parecido a un interruptor de emergencia.

¿Qué significa esto para tu startup?

Si tu equipo ya usa agentes para programar, atender clientes o mover datos, el riesgo no es teórico. Esto es lo que puedes hacer esta semana, sin comprar una licencia nueva:

• Haz inventario antes de que lo haga un incidente. Lista qué agentes corren hoy en las máquinas del equipo y con qué cuentas están conectados. El salto de 25 a 60 tipos detectables que reporta CryptoBriefing refleja justamente eso: los empleados adoptan herramientas de IA más rápido de lo que TI puede inventariarlas. El shadow IT ya se convirtió en shadow AI.
• Deja de heredar permisos humanos. Un agente no debería operar con tu cuenta de administrador solo porque tú lo pusiste a trabajar. Asígnalo con una identidad propia y con el acceso mínimo que la tarea exige, con caducidad.
• Pon un punto de control humano en lo irreversible. Pagos, borrado de datos, envíos de información a terceros y cambios en producción son las acciones donde la aprobación de una persona deja de ser burocracia y pasa a ser el último cortafuegos.
• Registra lo que hace el agente, no solo lo que hace la persona. Sin trazabilidad no puedes distinguir entre un error del modelo y un uso indebido de un empleado. Esa distinción es la que te da Microsoft con Entra Agent ID, y la puedes replicar con logs por tarea.
• No delegues el control al proveedor del modelo. El principio que resume Nadella aplica a cualquier escala: el sistema más confiable es el que menos confía en su modelo. Si tu única barrera es el system prompt que te dio el laboratorio, no tienes barrera.

Conclusión

La promesa de productividad de los agentes está atada a una condición poco glamorosa: que sus facultades estén limitadas y sean verificables. Microsoft convirtió esa idea en producto y, de paso, en una advertencia útil para cualquier empresa que esté automatizando procesos críticos.

La responsabilidad sigue siendo humana. Definir qué puede hacer un agente, comprobar su comportamiento y conservar una vía para detenerlo no es una tarea de seguridad de nivel corporativo: es el precio de entrada para operar con IA en serio. Un founder que resuelve esto temprano escala con menos sobresaltos que uno que descubre sus privilegios excesivos el día del incidente.

Fuentes

• CriptoTendencia (fuente original)
• TechCrunch
• Unite.AI
• CryptoBriefing
• SiliconANGLE