Microsoft: los agentes de IA son amenazas internas

Microsoft convierte a los agentes de IA en sospechosos

Un agente de IA con acceso a tu CRM, a tu repositorio de código y a tu bandeja de correo tiene hoy más permisos que la mayoría de tus empleados. Ese es el problema que Microsoft decidió atacar este lunes con Guardian Agents, una capa de supervisión que revisa cada acción de un agente antes de que se ejecute, y con una advertencia incómoda: los modelos frontera, vengan de donde vengan, no son confiables.

Para un founder que ya tiene agentes en producción, la noticia no es el producto. Es el cambio de marco. Hasta ahora el riesgo se modelaba como un atacante externo que intenta entrar; ahora el riesgo es el agente que tú mismo desplegaste, pagas y le diste las llaves.

¿Qué es Guardian Agents y cómo funciona?

Guardian Agents es la pieza nueva de Project Perception, el producto que Microsoft presentó en junio con tres equipos de agentes: un "red team" que ataca como lo haría un hacker, un "blue team" que detecta y evalúa las vulnerabilidades encontradas, y un "green team" que las corrige. Ese diseño partía de una premisa: el enemigo venía de afuera.

La premisa se invirtió. Según la documentación que Microsoft publicó junto al anuncio y que recoge Unite.AI, el sistema ahora asume cuatro responsabilidades continuas: saber qué agentes existen en la organización, contener a qué puede acceder y qué puede hacer cada uno antes de que actúe, proteger los datos, herramientas y sistemas que están en su ruta, y ajustar la protección a medida que cambian el comportamiento, el contexto y el riesgo.

El detalle técnico que importa: la supervisión no vive dentro del agente. Microsoft describe sandboxes como Microsoft Execution Container (MXC), que crean una frontera de cumplimiento fuera del alcance del agente, de modo que un agente comprometido no pueda desactivar los controles que lo vigilan. Es la diferencia entre pedirle al modelo que se porte bien y construir una pared que no puede atravesar.

¿Por qué Microsoft dice que los modelos frontera no son confiables?

La frase es de Hayete Gallot, responsable del negocio de seguridad de Microsoft: "Lamentablemente, los modelos frontera, independientemente de su origen, no se pueden confiar". Su argumento no es que sean maliciosos ni fáciles de hackear, sino que son impredecibles: fueron entrenados para cumplir tareas, no para seguir normas organizacionales ni criterios de juicio.

El CEO Satya Nadella lo planteó antes, a principios de este mes, en su blog personal: hay que dejar de confiar en los proveedores de modelos aunque ofrezcan garantías de seguridad. "No podemos externalizar la responsabilidad de lo que la inteligencia hace en nuestro nombre", escribió. Y añadió la fórmula que resume toda la estrategia: "necesitamos separar el suministro de inteligencia de la autoridad sobre ella".

En la misma línea, Terrell Cox, vicepresidente corporativo y deputy CISO de Microsoft para seguridad de clientes, señaló que la compañía ya opera como "Customer Zero" en un mundo de cientos de miles de agentes, y que las lecciones de esa experiencia interna alimentan las capacidades que ahora vende.

Defender, Entra y permisos que caducan

El anuncio no es una función aislada, es un stack. Microsoft sumó a Microsoft Defender una capacidad de detección de agentes que reconoce hasta 60 tipos de agentes locales, incluidos Claude Code, OpenAI Codex, GitHub Copilot y OpenClaw. La idea es encontrar el "shadow AI" que los empleados instalan por su cuenta y meterlo en un registro unificado con dueño, actividad y nivel de riesgo.

Sobre esa base se apoyan tres controles concretos:

• Identidad propia por agente. Microsoft Entra Agent ID se extiende a agentes locales y desconocidos, para que la empresa pueda distinguir qué hizo una persona de qué hizo un agente actuando en su nombre.
• Permisos dinámicos. Un agente arranca sin autoridad y recibe solo permisos acotados a la tarea y con vencimiento. La política organizacional impide además que un agente obtenga permisos que su usuario humano no tiene.
• Acceso condicional por riesgo. Si el riesgo sube, la respuesta es gradual: mantener lectura y bloquear escritura, reducir el alcance de datos, cortar rutas de red, revocar accesos temporales o exigir aprobación humana verificable antes de un paso crítico. En el nivel más alto, el sistema aísla el runtime o detiene la ejecución.

El ejemplo que da Microsoft es útil para cualquier equipo: un agente de aprobación de gastos encuentra una inyección de prompt dentro de un documento externo. El riesgo sube, la política conserva su acceso de lectura pero le quita la capacidad de aprobar o escribir, y el paso de alto impacto queda bloqueado hasta que un humano lo autorice.

El conflicto de interés que Microsoft no esconde

Hay una ironía evidente en el anuncio. Microsoft es inversora de OpenAI y de Anthropic, OpenAI es uno de sus mayores clientes de nube y la compañía tiene su propio laboratorio de modelos. Es decir: está sembrando desconfianza sobre parte de sus propios intereses comerciales.

Y también está capturando un negocio. Quiere que las empresas compren la seguridad de agentes al proveedor de nube, no a los laboratorios que fabrican los agentes. Dicho eso, la lógica se sostiene sola: el software que audita el comportamiento de un agente debería ser independiente del proveedor del agente, igual que un auditor no depende de la empresa que audita.

El precio ya está publicado. Según el blog de seguridad de Microsoft que cita Unite.AI, el paquete Microsoft 365 E7 está disponible de forma general desde el 1 de mayo de 2026 a US$99 por usuario por mes, e incluye Copilot, Agent 365, Entra Suite y E5. Agent 365, el plano de control para observar y gobernar agentes, se vende a US$15 por usuario por mes. Para una startup de 30 personas, eso es una decisión de presupuesto, no un toggle.

Nvidia y la carrera por el interruptor de emergencia

Microsoft no está sola empujando este marco. Fue miembro inaugural de la Open Agent Safety Platform de Nvidia, que reunió a más de 100 organizaciones, entre ellas Anthropic, Cisco, CrowdStrike, Dell, HPE, Hugging Face, JPMorganChase, Palantir, Palo Alto Networks, Salesforce, SAP y Scale AI, según Business Standard.

La arquitectura de Nvidia replica la misma filosofía: OpenShell crea una frontera de ejecución segura alrededor del agente, y Sentry es un watchdog de hardware que corre en las DPU BlueField-4, fuera del entorno del agente, y puede ponerlo en cuarentena en milisegundos si intenta salirse de sus límites. El mensaje de Jensen Huang en el anuncio, recogido por Exchange4Media, es que la seguridad de la IA requiere ingeniería de pila completa, no solo mejores modelos.

La frase de Huzefa Motiwala, de Palo Alto Networks, resume el consenso de la industria: "El objetivo no es quitarle autonomía a los agentes, es poner límites claros alrededor de esa autonomía".

Qué significa esto para tu startup

Si tienes agentes corriendo en producción, ya estás en el perímetro de este problema, tengas o no presupuesto para Microsoft E7. Tres acciones que puedes ejecutar esta semana:

• Haz el inventario que no tienes. Antes de gobernar hay que saber qué existe. Revisa qué agentes y asistentes usan tus equipos (incluidos los que se instalaron sin permiso), quién los creó, a qué datos acceden y con qué credenciales corren. Un agente que opera con el token personal de un empleado es un riesgo que no puedes auditar.
• Separa identidad de agente de identidad humana. Cada agente debería tener su propia identidad con permisos acotados a la tarea y con fecha de expiración. Si no puedes distinguir en tus logs qué hizo el agente y qué hizo la persona, no tienes trazabilidad.
• Pon el control fuera del agente, no en el prompt. Instruir al modelo para que "no acceda a producción" es una sugerencia, no un control. La barrera tiene que estar en el runtime, en el sandbox o en la capa de red, para que siga vigente incluso si el agente es manipulado por una inyección de prompt.

Y una cuarta, más estratégica: define hoy qué acciones de un agente son irreversibles —pagar, enviar, borrar, publicar, firmar— y exige aprobación humana explícita para esas. Es la versión agéntica de la doble firma bancaria, y cuesta cero implementarla.

Conclusión

Microsoft está vendiendo un producto, pero también está nombrando un problema real: la mayoría de las empresas desplegó agentes con más permisos de los necesarios y sin nadie mirando qué hacen. La cita de Nadella en el anuncio lo deja claro: el sistema agéntico más confiable no será el que tiene el modelo en el que más confiamos, sino el que está diseñado para confiar lo menos posible en el modelo.

Para un founder, la lectura práctica es incómoda y liberadora a la vez. No necesitas el stack completo de Microsoft ni el hardware de Nvidia para empezar. Necesitas inventario, identidades separadas, permisos que caducan y un humano en el punto donde el error se vuelve caro. Eso se puede construir con lo que ya tienes.

Fuentes

• TechCrunch: Microsoft says AI agents are like insider threats as 'frontier models can't be trusted'
• Unite.AI: Microsoft Adds Guardian Agents to Project Perception for AI Insider Risk
• Business Standard: Nvidia's AI safety platform will not take away agents' autonomy
• Exchange4Media: NVIDIA launches Open Agent Safety Platform for AI security
• DigitalToday: Microsoft expands Project Perception, deploys guardian agent
• CryptoBriefing: Nvidia launches Open Agent Safety Platform with 100 partners