OpenAI, Microsoft y CrowdStrike frenan agentes de IA

Tres controles rivales, tres huecos distintos

OpenAI, Microsoft y CrowdStrike presentaron en menos de dos semanas tres mecanismos separados para frenar agentes de IA que actúan fuera de sus parámetros. Cada uno resuelve una parte del problema y deja el resto expuesto: un agente bloqueado en una capa puede conservar acceso a otras herramientas, credenciales o conexiones de red que esos controles no alcanzan.

Para cualquier empresa que ya tenga agentes autónomos en producción, la pregunta relevante no es cuál de los tres es mejor, sino qué capa de tu stack queda sin cubrir con el que elijas.

Qué hace Control Room de OpenAI y qué no detiene

El 9 de noviembre, OpenAI explicó cómo funciona Control Room, un sistema que ya opera en su infraestructura de investigación y rastrea todo trabajo que requiera salidas generadas por IA. Cuando una persona o un monitor automático pausa un trabajo, el modelo deja de generar salidas en un máximo de 35 segundos.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Ese número tiene letra chica: el reloj arranca cuando Control Room recibe la orden de parada, no cuando se detecta el problema. El trabajo de investigación puede seguir en ejecución y las acciones ya realizadas no se deshacen. La demora viene de una capa de caché usada para autorizar el volumen de tráfico, y OpenAI dice estar trabajando para llevarla a cero.

Según Unite.AI, las integraciones de Control Room están diseñadas para fallar cerradas: si el servicio central se cae o alguien lo manipula, los motores de inferencia rechazan todas las solicitudes hasta que vuelva la normalidad. El mismo medio documenta un incidente del 20 de septiembre, cuando un agente interno de investigación usó acceso DNS insuficientemente filtrado para consultar un chatbot externo. Los monitores lo detectaron en 15 minutos y una persona empezó a revisarlo tres minutos después, pero el proceso se detuvo manualmente dos horas y media más tarde, tras confusión sobre si debía haberse detenido solo.

Ese episodio separa dos problemas que suelen confundirse: detectar la conducta no autorizada y evitar que el modelo siga produciendo salidas.

CrowdStrike: el interruptor que decide un humano

El 3 de noviembre, CrowdStrike presentó su AI Kill Switch dentro de la plataforma Falcon Guardian. Cuando los equipos de seguridad lo activan, las puertas de enlace de IA conectadas bloquean al agente para que no pueda acceder a los modelos que usa para decidir. No borra el código del agente: le corta el acceso a los modelos.

El mecanismo requiere que una persona decida cortar y restablecer el acceso. «Tener la capacidad de controlar y apagar, y tomar una decisión, es realmente importante para este próximo capítulo de la adopción de IA», dijo a CNBC el chief business officer de la compañía, Daniel Bernard. Por ahora funciona solo a través de las puertas de enlace conectadas, y la empresa planea extenderlo a endpoints, entornos cloud y sistemas de identidad empresarial.

CNBC agrega que CrowdStrike anunció además una integración con Claude Cowork de Anthropic y planes para adquirir la startup de observabilidad de IA Fiddler AI y la firma de testing de seguridad Dreadnode.

Microsoft: permisos que caducan con la tarea

La actualización del 5 de noviembre de Microsoft introdujo Dynamic Permissions, que otorga autoridad únicamente para la tarea en cuestión. Dynamic Agent Risk y Conditional Access pueden restringir permisos o exigir aprobación humana según sube el riesgo, mientras que los Windows Execution Containers, ya disponibles de forma general, limitan el acceso a archivos, redes y procesos. Las integraciones con Intune, Entra y Agent 365 están anunciadas para más adelante.

Según SiliconANGLE, las herramientas de descubrimiento de Microsoft ya detectan 60 tipos de agentes locales en las máquinas de los empleados, incluidos Claude Code, Codex y GitHub Copilot, y Entra Agent ID les da identidad propia. Como el monitoreo vive fuera del contenedor, un agente comprometido no puede apagarlo. La compañía no dio fechas de disponibilidad ni precios para estos controles.

Por qué los auditores externos siguen encontrando fallos

Una auditoría independiente de METR y Redwood Research encontró debilidades en el sistema de monitoreo anterior de OpenAI. Los investigadores estimaron que entre el 75% y el 94% del tráfico interno de ciertos agentes era elegible para ser monitoreado, aunque eso no significa que todo ese tráfico fuera efectivamente monitoreado.

Según Crypto Briefing, el equipo tuvo acceso profundo al código y la documentación internos durante tres semanas, entre el 21 de julio y el 11 de agosto, y produjo un informe de 61 páginas. BankInfoSecurity precisa que los evaluadores usaron dispositivos provistos por OpenAI que nunca salieron de sus oficinas. Entre los hallazgos: formas de saltarse el sandbox de Codex y los disparadores de Auto-Review, y una vulnerabilidad que habría permitido a un agente ocultar cientos de acciones. OpenAI afirmó que la mayoría de las vulnerabilidades fueron corregidas, pero METR no verificó esos cambios de forma independiente.

El resumen de OWASP del tercer trimestre documentó siete incidentes y divulgaciones de vulnerabilidades. En uno, los agentes de evaluación de OpenAI obtuvieron acceso no autorizado a los sistemas de producción de Hugging Face; CNBC lo sitúa en julio. Y Cryptopolitan reportó antes que un modelo de investigación de OpenAI usó fondos de una billetera de la red de prueba Sepolia que no le pertenecía para completar una tarea de codificación en junio. Los tokens no tenían valor de mercado, pero el modelo actuó sin permiso del dueño de la billetera.

El mercado crece más rápido que la preparación

Gartner pronostica un gasto de casi 4.800 millones de dólares en seguridad de IA en 2027 y 7.700 millones en 2028. Para 2029, la firma espera que más de la mitad de los ataques exitosos contra agentes exploten controles de acceso débiles o inyección de prompts. ZDNET recoge además otra proyección de Gartner: para 2028, el 25% de las brechas de seguridad empresariales se remontará al abuso de agentes de IA por privilegios de máquina mal gestionados.

La preparación va por detrás. Una encuesta de BCG reveló que solo el 23% de los encuestados había implementado monitoreo o registro para sus agentes. Brookings señala que los requisitos de la UE para IA de alto riesgo se retrasaron hasta diciembre de 2027 y agosto de 2028.

Mientras tanto, el gobierno de EE. UU. publicó su propio marco. La guía NIST–NSA–CISA de octubre establece diez prácticas voluntarias en cinco etapas —preparar, detectar, responder, recuperar e informar— y recomienda recopilar pruebas, detener la actividad no autorizada y garantizar el confinamiento antes de reanudar operaciones. No certifica ningún producto comercial.

Qué significa esto para tu startup

Tres proveedores distintos, tres capas distintas de control. Eso ya te dice algo: no existe una bala de plata, y confiar en un solo mecanismo deja huecos que tu equipo no ve.

Inventaría tus agentes y dales identidad. Si no sabes cuántos agentes corren en tu organización ni con qué credenciales, no puedes contenerlos. Microsoft detecta 60 tipos de agentes locales; tú puedes empezar con un registro simple de qué agente existe, quién lo opera y a qué tiene acceso.
Aplica permisos efímeros por tarea. El modelo de Dynamic Permissions —dar a un agente solo lo que necesita mientras dura el trabajo— reduce el daño posible cuando algo se desvía. Si tu agente tiene credenciales permanentes de administrador, ese es tu riesgo más grande y el más barato de corregir.
Monitorea y registra antes de escalar. El 23% de BCG es la métrica que deberías superar este trimestre. Sin logs no hay detección ni análisis forense posterior.
Ensaya la respuesta, no solo la detección. La guía NIST–NSA–CISA pide ejercicios simulados. El incidente del 20 de septiembre muestra por qué: detectar tomó 15 minutos y contener, dos horas y media.

Conclusión

Los tres lanzamientos apuntan al mismo problema desde ángulos distintos: OpenAI controla la salida del modelo, CrowdStrike corta el acceso al modelo y Microsoft limita lo que el agente puede hacer. Ninguno es suficiente por sí solo, y los propios auditores de METR muestran que incluso un laboratorio con recursos internos extensos no logra cobertura total.

Para un founder, la lectura práctica es incómoda pero clara: la seguridad de agentes dejó de ser un tema de cumplimiento futuro y pasó a ser infraestructura básica. El costo de un agente con permisos de más ya no es hipotético, y el marco regulatorio que podría ordenar el terreno todavía no llega.