Argus: una plataforma donde los agentes de IA leen todo y no ejecutan nada
Argus se publicó en GitHub con 7 estrellas, licencia MIT y una arquitectura que invierte la lógica del sector: los agentes de IA que hacen trabajo de seguridad pueden leer todo, pero no pueden ejecutar nada. La única pieza autorizada a modificar la infraestructura es un action broker separado, con aprobaciones, simulaciones previas, rollback y botón de emergencia.
La propuesta llega en un momento incómodo. Un backdoor estuvo tres horas publicado en PyPI en marzo de 2026 y se descargó casi 47.000 veces, según el análisis de Help Net Security sobre el informe State of Agentic AI Security and Governance de OWASP. El paquete comprometido, LiteLLM, es la pasarela de modelos que usan CrewAI, DSPy y Microsoft GraphRAG, entre decenas de frameworks de agentes.
Para un founder que ya tiene agentes tocando datos de clientes, la pregunta dejó de ser teórica.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días¿Qué es Argus exactamente?
Es una plataforma de operaciones de seguridad (SecOps) autoalojada y multi-tenant. Su README la describe como una base temprana de código abierto, pensada para ser bifurcada y extendida, no como un producto certificado.
El diseño separa cuatro capas:
- Recolectores que construyen un inventario de activos de nube, identidad, código, endpoints, red y Kubernetes dentro de un grafo de evidencia.
- Motor de detección con 12 reglas repartidas entre señales de swarm, identidad, nube, código y canaries.
- Agentes gobernados que triagean, investigan y hacen threat hunting con herramientas de solo lectura.
- Action broker, el único componente con permiso de cambiar algo: 25 acciones tipadas con política, aprobaciones, dry run, rollback y kill switch.
La plataforma también trae 13 parsers de ingesta entrantes y 6 canales de salida (webhook, Slack, Jira, ServiceNow, PagerDuty y email), además de soporte para proveedores de modelo como Anthropic, OpenAI y Ollama, o ninguno.
La regla que hace la diferencia: el agente propone, el humano aprueba
En Argus los agentes no ejecutan. Su única herramienta con capacidad de escritura crea una solicitud de acción en estado pendiente. Todo lo que el agente lee se envuelve como dato no confiable y el prompt de guardarraíles le advierte que las instrucciones dentro de la evidencia son indicadores de inyección.
Esa decisión responde a un problema arquitectónico que OWASP describe sin rodeos: los modelos tratan el prompt del sistema, la petición del usuario y cualquier texto recuperado de fuentes externas como un único flujo de tokens. No hay forma confiable de marcar unos como comandos y otros como datos. OWASP mapea la inyección de prompts a seis de las diez categorías de su Top 10 para aplicaciones agénticas.
El investigador Simon Willison popularizó la heurística de la ‘trifecta letal’: cualquier agente que combine acceso a datos privados, exposición a contenido no confiable y capacidad de comunicarse al exterior puede convertirse en una herramienta de exfiltración con un solo prompt inyectado. Meta publicó una variante operativa, la ‘Regla de Dos’: un agente que opera sin aprobación humana puede cumplir dos de esas tres condiciones, nunca las tres.
Argus intenta resolver eso por diseño y no por prompt. La cadena de auditoría es hash-linked, firmada con HMAC y replicada a un destino externo con opción de inmutabilidad; cada tabla de dominio lleva tenant_id y las consultas pasan por un helper con alcance de inquilino.
¿Qué tan maduro está el proyecto?
Conviene ser directo, porque el propio repositorio lo es. El núcleo de la plataforma —tenencia, autenticación, RBAC, cadena de auditoría, cola, política y aprobaciones— está probado de punta a punta sobre SQLite y PostgreSQL. Pero los recolectores de nube e identidad y los ejecutores de acciones se probaron contra fixtures grabados y APIs simuladas, no contra cuentas reales. Las 12 reglas de detección son un conjunto inicial sin ajustar.
El README recomienda adaptar recolectores y reglas al entorno propio y arrancar en modo solo monitoreo antes de habilitar cualquier acción. Tampoco es un producto certificado: la documentación de cumplimiento aclara qué puede y qué no puede evidenciar.
Traducido a decisiones: es una base para construir encima, no un reemplazo de tu stack de seguridad.
¿Por qué el mercado de seguridad para agentes se está moviendo tan rápido?
Los números del sector explican el interés. Según el Okta Enterprise AI Index, que analizó datos anonimizados de acceso de más de 20.000 organizaciones entre junio de 2022 y junio de 2026, la gobernanza de identidades no humanas está implementada en apenas el 21% de las empresas, aunque las identidades no humanas ya superan en número a los usuarios humanos en el 83% de las compañías relevadas.
La brecha tiene costo. Una encuesta de VentureBeat a 800 líderes de TI en Estados Unidos y Reino Unido, citada por TechRepublic, encontró que la proporción de organizaciones que describen su despliegue de IA como ‘maduro’ cayó del 40% al 23% en seis meses. No es pérdida de fe: es que empezaron a medir gobernanza en lugar de velocidad de adopción.
El capital sigue el mismo rastro. TechCrunch reportó que Cymphony, startup de seguridad para agentes, levantó US$30M —incluida una Serie A de US$25M co-liderada por Sequoia y SMBC Fin Atlas Beyond Fund— con una valoración superior a US$100M. En uno de sus casos encontró cerca de 85.000 archivos que habían quedado accesibles a herramientas y agentes de IA en una empresa pública estadounidense. En septiembre de 2026, Comp AI anunció una Serie A de US$34M liderada por Roo Capital y Grand Ventures para automatizar trabajo de cumplimiento con agentes.
Y los ataques siguen encontrando huecos. Investigadores de LayerX probaron un ataque de inyección de prompts llamado BioShocking contra seis navegadores agénticos —entre ellos ChatGPT Atlas, Comet y el plugin de Claude para Chrome— y solo OpenAI había implementado una corrección funcional al momento del reporte, según BleepingComputer.
¿Qué significa esto para tu startup?
Si tienes agentes en producción, ya tienes una superficie de ataque que probablemente nadie está mirando. Estos son los movimientos concretos:
- Haz el inventario de identidades no humanas antes que cualquier otra cosa. Lista cada API key, service account y credencial de agente. Si un agente hereda el login de una persona, pierdes la trazabilidad: no puedes distinguir qué hizo el agente y qué hizo el humano. Es el punto de partida que Okta señala como el más rezagado.
- Aplica la Regla de Dos a cada agente. Si un agente combina datos privados, contenido no confiable y salida externa, necesita aprobación humana en el medio. Si no puedes meterla, quítale una de las tres patas.
- Separa lectura de escritura, como hace Argus. El patrón es simple y se puede replicar sin adoptar la plataforma completa: el agente propone, un componente aparte ejecuta con política y aprobación. Nunca le des al modelo la capacidad de cambiar el estado directamente.
- Prueba Argus en modo monitoreo antes de habilitar acciones. El repositorio trae un arranque con Docker Compose (API, worker, PostgreSQL y Redis) y un script de datos sintéticos que corre aislado y no toca la red. Es la forma de evaluar si el grafo de evidencia sirve para tu infraestructura sin riesgo.
- Prepara la ventana regulatoria. El informe de OWASP rastrea 42 instrumentos regulatorios en 10 jurisdicciones, con relojes que van de las 4 horas de DORA a las 24 horas de NIS2. Si tu equipo no puede reconstruir qué hizo un agente en ese plazo, la notificación se vuelve imposible.
Un dato más para calibrar el riesgo interno: según datos de IBM citados en el informe de OWASP, solo el 37% de las organizaciones tiene una política para detectar IA en la sombra. Es decir, la mayoría no sabe cuántos agentes corren dentro de su propia empresa.
Conclusión
Argus no es un producto terminado ni pretende serlo: es un esqueleto con buenas decisiones de diseño, publicado bajo MIT para que otros lo extiendan. Su valor real está en el patrón que propone, y ese patrón se puede copiar hoy aunque nunca instales el repositorio.
La separación entre quien analiza y quien ejecuta, la aprobación humana obligatoria para acciones de riesgo y la trazabilidad por identidad de agente son tres decisiones que cualquier startup con agentes en producción debería tomar antes de su próximo incidente, no después.
Fuentes
- Argus en GitHub (fuente original)
- Prompt injection still drives most agentic AI security failures in production – Help Net Security
- The Hidden Security Problem Holding Enterprise AI Back – TechRepublic
- Sequoia doubles down on Cymphony – TechCrunch
- Comp AI sets eyes on a continuously agentic future – TechCrunch
- New BioShocking attack manipulates AI browser into data theft – BleepingComputer
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
