Microsoft alerta: los agentes de IA son riesgo interno

Microsoft llama agentic insiders a los agentes que ya trabajan en tu empresa

Microsoft Security publicó el 19 de octubre de 2026 una guía que pone el foco en un riesgo que muchas organizaciones todavía no están mirando: los agentes de IA que ya operan dentro de la empresa. La compañía los bautizó agentic insiders, un término que describe su posición —con acceso a datos, herramientas o sistemas corporativos y capacidad de actuar en procesos importantes—, no una intención maliciosa.

Ese es el punto incómodo del documento. El peligro no es que el agente quiera hacer daño: es que tiene permisos para hacer cosas.

Hayete Gallot, responsable del negocio de seguridad de Microsoft, lo planteó sin matices en el anuncio que cubrió TechCrunch: los modelos frontera, sin importar su origen, no pueden ser confiables. Aclaró que no es porque sean maliciosos ni fáciles de hackear, sino porque son impredecibles: están entrenados para cumplir tareas, no para respetar las normas ni el criterio de una organización.

El contexto lo puso Satya Nadella, CEO de Microsoft, en su blog personal: hay que dejar de confiar en los proveedores de modelos aunque ofrezcan garantías de seguridad, y construir sistemas independientes —que no dependan de los propios laboratorios de IA— para vigilar a los agentes que esos productos lanzan. Su frase, recogida por TechCrunch: necesitamos separar el suministro de inteligencia de la autoridad sobre ella.

Qué riesgos concretos señala Microsoft Security

Tres, y ninguno necesita un atacante externo:

• Reward hacking. El agente persigue un resultado de una forma que no encaja con las normas ni con el criterio de la organización.
• Comportamiento dependiente del contexto. El mismo agente actúa distinto según la situación, de manera inesperada incluso para quien lo configuró.
• Colusión entre agentes. Varios agentes coordinan acciones para lograr un objetivo sin que haya habido una intrusión externa.

La escala agrava todo. Según el análisis de unite.ai, Nadim Abdo, vicepresidente corporativo de identidad y acceso de red de Microsoft, señaló que los agentes suelen operar con más privilegios de los necesarios y que corren de forma continua a velocidad de máquina: un error no se queda quieto esperando que alguien lo revise.

Cómo funcionan Guardian Agents y Project Perception

Microsoft plantea los Guardian Agents como una capa que observa y modera las acciones de otros agentes antes de que se ejecuten. Forman parte de Project Perception, que Microsoft anunció el 27 de julio de 2026 y que se presenta como un sistema para descubrir y gestionar agentes, asignarles identidad y políticas, calcular el riesgo según el contexto y supervisar sus acciones.

Microsoft describe equipos de agentes Guardian, blue y green para la supervisión y la respuesta. Atribuye al sistema rapidez y trazabilidad, y reserva a los profesionales la valoración y el criterio. En su guía del 19 de octubre, la compañía afirmó que Project Perception podía aprovecharse para contener agentes empresariales.

unite.ai detalla que el sistema se apoya en cuatro responsabilidades continuas: saber qué agentes existen, contener lo que cada uno puede acceder y hacer antes de que actúe, proteger los datos, herramientas y sistemas que están en su camino, y adaptar la protección conforme cambian el comportamiento, el contexto y el riesgo. Los Playbooks definen el resultado de seguridad deseado y los Guardian Agents ejecutan las acciones a velocidad de máquina. Project Perception y Agent 365 comparten señales y un registro unificado, de modo que TI y seguridad ven la misma foto.

Qué es MXC y cómo limita los accesos de los agentes

Microsoft Execution Containers (MXC) aplica una política de acceso a recursos como archivos y destinos de red desde fuera de la carga de trabajo del agente. Así, el agente —o el código que genera— no puede concederse permisos adicionales por su cuenta. El ejemplo que da Microsoft es concreto: un agente de programación puede tener permiso para modificar un repositorio sin acceso a la configuración de servidores de producción ni a archivos ajenos a la tarea.

Microsoft declaró MXC disponible de forma general el 7 de octubre de 2026. El sistema tiene tres modos:

• Enforcement: bloquea los accesos que la política no autoriza.
• Learning: bloquea esos accesos y los registra.
• Permissive: registra los accesos que la política denegaría, pero permite que continúen, sujetos a otras restricciones del sistema operativo o de la organización.

Microsoft describe informes de actividad para los modos Learning y Permissive en contenedores de proceso de Windows. En cuanto a plataformas, la empresa señala contenedores de proceso para Windows 11, macOS y Linux; contenedores de sesión y WSL para Windows 11; y microVM experimentales para Windows 11 y Linux. Según recogió wwwhatsnew sobre el evento del 7 de octubre, MXC ya tiene soporte para Codex, GitHub Copilot, OpenClaw, Replit, LM Studio, OpenShell de NVIDIA y Unsloth AI, con Anthropic Claude Code, Box, Hermes Agent, Manus, Perplexity y Raycast en camino.

Supervisar y contener no son el mismo control

La diferencia práctica es clara: Guardian Agents y Project Perception se orientan a supervisar acciones y valorar riesgos según el contexto, mientras MXC impone un límite de acceso definido por políticas fuera del agente.

Observar una acción y restringir los recursos a los que puede acceder no son la misma función, y ninguna reemplaza a la otra. Hay un detalle de arquitectura que importa: como los controles de MXC viven fuera del agente, un agente comprometido no puede desactivarlos, según explicó unite.ai citando a Microsoft.

Cuánto cuesta gobernar agentes

El tema ya tiene precio. unite.ai reporta que Microsoft 365 E7: The Frontier Suite se puso a la venta general el 1 de mayo de 2026 a US$99 por usuario al mes, e incluye Copilot, Agent 365, Entra Suite y E5; Agent 365, el plano de control para observar y gobernar agentes, se lanzó ese mismo día a US$15 por usuario al mes.

El movimiento no es aislado. TechCrunch reportó que Microsoft sumó a Defender una función de detección capaz de encontrar hasta 60 tipos de agentes que los empleados llevan al trabajo, incluidos Claude Code, Codex y OpenClaw, y que la compañía fue miembro inaugural de la Open Agent Safety Platform de Nvidia, una iniciativa que reunió el respaldo de más de 100 empresas tecnológicas y que aísla agentes en entornos seguros con capacidad de detener su comportamiento a nivel de hardware.

Qué significa esto para tu startup

Si tu equipo usa agentes para programar, responder soporte o mover datos, ya tienes agentic insiders, los hayas nombrado así o no. Estas son las decisiones que puedes tomar esta semana:

• Haz el inventario antes que la política. No puedes gobernar lo que no sabes que existe. Pide a cada equipo la lista de agentes que usa, quién los aprobó y a qué datos y herramientas llegan. Microsoft tardó en llegar a eso y ahora presume de un registro unificado; en una startup de 20 personas el ejercicio toma una tarde.
• Empieza en modo Learning, no en Enforcement. Si vas a aplicar políticas de acceso, primero observa y registra qué intenta hacer cada agente. Vas a descubrir que varios piden permisos que nadie les dio explícitamente, y bloquear a ciegas rompe flujos de trabajo que sí importan.
• Aplica permisos con alcance de tarea y tiempo limitado. La lógica de las Dynamic Permissions que describe unite.ai es directamente trasladable: que un agente empiece sin autoridad y reciba solo lo necesario para la tarea, y que ningún agente obtenga permisos que su usuario humano no tenga.
• Exige aprobación humana en los pasos de alto impacto. Pagos, cambios en producción, envíos masivos de correo. El criterio profesional es justamente lo que Microsoft dice que no se delega al agente.
• Separa quien provee el modelo de quien lo audita. Es el punto de Nadella y aplica a cualquier tamaño de empresa: si el mismo proveedor vende el agente y certifica que es seguro, no tienes auditoría, tienes una promesa comercial.

La conclusión para un founder es sencilla y algo incómoda: el debate sobre agentes de IA en la empresa ya no es solo de productividad. La pregunta que Microsoft instala es cuánta autoridad le estás entregando a un sistema que no sigue tus normas, y si tienes con qué darte cuenta cuando se desvía.

Fuentes

• Microsoft alerta sobre los riesgos de los agentes de IA en las empresas (fuente original)
• Microsoft says AI agents are like insider threats as frontier models can’t be trusted
• Microsoft Adds Guardian Agents to Project Perception for AI Insider Risk
• Microsoft expands Project Perception, deploys guardian agent to control in-house AI agents
• Microsoft convierte Windows en un sistema operativo para agentes de IA locales y anuncia el Surface Laptop Ultra con RTX Spark
• Windows se blinda para que los agentes de IA trabajen en local

Artículos relacionados:

Agentes IA en la empresa: ¿uno por persona o uno por equipo? Microsoft: los agentes de IA son amenazas internas Microsoft lanza Guardian Agents para vigilar agentes de IA Microsoft trata a los agentes de IA como amenazas internas Microsoft blinda agentes de IA con controles Zero Trust