Microsoft da identidad propia a los agentes de IA

Microsoft da identidad propia a cada agente de IA

Microsoft presentó un conjunto de capacidades para identificar, restringir y supervisar agentes de IA en tiempo real dentro de las empresas: cada agente recibe identidad propia, permisos acotados a una tarea que se retiran al terminar y una evaluación de riesgo que se actualiza mientras trabaja. Lo explicó Yina Arenas, vicepresidenta corporativa de Gestión de Productos y directora de Productos de Microsoft Identity & Network Access, en entrevista con Tech Bit.

Para un founder que ya tiene agentes corriendo sobre datos de clientes, la noticia no es el catálogo de funciones: es la doctrina. Microsoft sostiene que un agente no debe heredar los permisos del empleado que lo usa y que la autoridad sobre lo que puede hacer debe vivir fuera del modelo. Unite.AI reportó el anuncio el 19 de octubre de 2026.

Por qué un agente no es una aplicación ni un empleado

El software tradicional hace lo que dice su código. Un agente de IA adapta su plan y cambia de contexto a medida que ejecuta una tarea. «Los agentes se están convirtiendo rápidamente en parte de la forma en que se realiza el trabajo (…) Eso no significa que los agentes sean inherentemente maliciosos. Son herramientas capaces a las que se puede otorgar acceso a sistemas importantes y que pueden cometer errores, ser manipuladas o verse comprometidas», explica Arenas.

La diferencia operativa es la velocidad. Un agente opera de forma continua y a velocidad de máquina, así que la supervisión humana por sí sola no alcanza como mecanismo de control. De ahí que la estrategia se apoye en controles automáticos que detectan el cambio y responden sin esperar a que alguien revise una alerta.

Identidad, permisos dinámicos y riesgo continuo: las tres capas

1. Identidad independiente. Cada agente recibe su propia identidad, para que la organización sepa quién es, quién responde por su operación y qué acciones ejecuta. Según Unite.AI, esto se apoya en Microsoft Entra Agent ID, pensado para que la empresa pueda distinguir qué hizo una persona de qué hizo un agente en su nombre.

2. Dynamic Permissions. El agente no arranca con los accesos de su usuario: empieza sin autoridad y recibe permisos acotados a la tarea y por tiempo limitado. Las políticas de la organización marcan el límite exterior y las acciones de mayor impacto pueden exigir aprobación humana verificable. Unite.AI detalla que esas políticas también impiden que un agente obtenga autoridad que su usuario no tiene.

3. Dynamic Agent Risk y Dynamic Conditional Access. No es una puntuación asignada una vez al dar de alta al agente, sino una evaluación continua. Si el riesgo sube, la respuesta es gradual: mantener la lectura y bloquear la escritura, reducir el alcance de datos, restringir rutas de red, acortar o revocar accesos temporales. Solo en los niveles más altos se aísla o se detiene al agente. Arenas lo ejemplifica con un agente de revisión de gastos que recibe instrucciones sospechosas: puede seguir consultando informes, pero no autorizar pagos hasta que una persona lo verifique.

A esto se suma un contenedor de ejecución —Microsoft Execution Container (MXC), según Unite.AI— que crea una frontera donde los controles operan fuera del alcance del propio agente, para que un agente comprometido no pueda desactivar la supervisión. La respuesta a incidentes se organiza además con Project Perception, que incorpora Playbooks y Guardian Agents.

«El sistema agéntico más confiable no será el que tenga el modelo en el que más confiamos, sino el que esté diseñado para que confiemos lo menos posible en el modelo», escribió Satya Nadella en el blog de seguridad de Microsoft, según recoge Unite.AI. En la entrevista, Arenas lo formula distinto: hay que separar la provisión de inteligencia de la autoridad sobre ella.

Detección: 60 tipos de agentes, incluidos los que no controlas

Microsoft está ampliando la detección a 35 tipos adicionales de agentes locales hasta llegar a 60, y los incorpora a un registro unificado. Unite.AI precisa que la lista incluye Claude Code, OpenAI Codex y GitHub Copilot, y que el objetivo es que estos agentes se conviertan en objeto de política aunque nunca hayan sido integrados directamente con la seguridad de Microsoft.

El problema que resuelve esto es la visibilidad. Un agente levantado por el equipo de marketing con un framework open source o una herramienta no-code no pasa por el proveedor del modelo base, y sin inventario no hay control posible. Microsoft dice operar internamente con cientos de miles de agentes, experiencia que usa como cliente cero para diseñar estas capacidades.

Prompt injection: el riesgo que los permisos no eliminan

Los permisos mínimos no cierran la puerta. Un agente puede empezar con los accesos correctos y después recibir instrucciones maliciosas escondidas en un documento externo: es la inyección de instrucciones o prompt injection.

El OWASP GenAI Security Project mapea el prompt injection a seis de las diez categorías de su Top 10 para aplicaciones agénticas, según Help Net Security. La causa es arquitectónica: el modelo trata el prompt del sistema, la orden del usuario y cualquier texto recuperado de una fuente externa como un solo flujo de tokens, sin forma confiable de marcar qué es instrucción y qué es dato.

Dos heurísticas ayudan a decidir en el día a día. La primera es la trifecta letal del investigador Simon Willison: un agente con acceso a datos privados, exposición a contenido no confiable y capacidad de comunicarse al exterior puede convertirse en herramienta de exfiltración con un solo prompt inyectado. La segunda es la Regla de Dos publicada por Meta: sin supervisión humana, un agente debería cumplir como máximo dos de esas tres condiciones.

El riesgo de la cadena de suministro tampoco es teórico. Help Net Security recuerda que una versión comprometida del paquete LiteLLM, usado como puerta de enlace a modelos por decenas de frameworks de agentes, sumó casi 47.000 descargas en las tres horas que estuvo disponible en PyPI.

Qué significa esto para tu startup

El mensaje le sirve igual a una corporación que a un equipo de ocho personas, porque el problema escala con la cantidad de agentes, no con el tamaño de la empresa.

• Haz inventario antes de comprar herramientas. ¿Quién levantó agentes en tu empresa, con qué permisos y sobre qué datos? Help Net Security cita datos de IBM según los cuales solo el 37% de las organizaciones tiene una política para detectar IA en la sombra. Ese es el agujero más barato de cerrar.
• Aplica la Regla de Dos de Meta. Si tu agente toca datos privados y lee contenido externo, exige aprobación humana antes de que envíe mensajes, mueva dinero o cambie infraestructura.
• Prohíbe las cuentas de servicio compartidas. Una identidad por agente y permisos por tarea con vencimiento es más trabajo al inicio y es lo único que te permite revocar en segundos cuando algo sale mal.
• Mide la evaluación, no solo la observación. En la encuesta 2026 de LangChain sobre más de 1.300 profesionales, el 57,3% ya tiene agentes en producción y casi el 89% cuenta con herramientas de observabilidad, pero solo el 52% tiene sistemas de evaluación. Ver al agente no es lo mismo que saber si está haciendo bien su trabajo.
• Calcula el costo de la capa gestionada. Si vas a comprar en lugar de construir, Unite.AI reporta que Microsoft 365 E7 está disponible a US$99 por usuario al mes y Agent 365 a US$15 por usuario al mes.

El contexto de adopción explica la urgencia: McKinsey reporta que el 40% de los encuestados en empresas con más de US$1.000 millones de ingresos anuales ya escala agentes en al menos una función de negocio, frente al 27% del año anterior, según Analytics Insight. En compañías más pequeñas ese porcentaje baja al 22%: menos agentes, menos control, el mismo tipo de riesgo.

La regulación ya tiene reloj

Si operas en Europa, la ventana de reacción no la defines tú. DORA exige notificar incidentes graves en cuatro horas y NIS2 una advertencia temprana en 24 horas, según Help Net Security. La EU AI Act aplica reglas de transparencia a ciertos agentes desde el 2 de agosto de 2026 y exige requisitos adicionales a los de alto riesgo desde el 2 de diciembre de 2027, según Analytics Insight.

Conclusión

La seguridad empresarial se está moviendo del modelo al plano de control: identidades, permisos y evaluación continua. Es un mercado con oferta creciente —además de Microsoft, en septiembre de 2026 NVIDIA presentó su Open Agent Safety Platform, con un runtime seguro y un sistema de cuarentena que según Analytics Insight puede aislar un agente en milisegundos— pero también una decisión de arquitectura que cada startup toma con su propio inventario de agentes.

La lección práctica es simple: si un agente puede leer todo lo que lees tú y hablar con el mundo exterior, alguna vez te va a fallar. O le pones límites desde el día uno, o los pones después de un incidente.

Fuentes

• El Universal (fuente original)
• Unite.AI
• Help Net Security
• Analytics Insight

Artículos relacionados:

Agentes IA en la empresa: ¿uno por persona o uno por equipo? Microsoft: los agentes de IA son amenazas internas Microsoft lanza Guardian Agents para vigilar agentes de IA Microsoft trata a los agentes de IA como amenazas internas Microsoft blinda agentes de IA con controles Zero Trust