Microsoft lanzó nuevos controles de seguridad para agentes de inteligencia artificial que operan dentro de los propios sistemas de las empresas, según un comunicado de la compañía y un reportaje de SiliconANGLE. El objetivo es limitar lo que un agente puede hacer a medida que aumenta el riesgo que representa.

Hayete Gallot, vicepresidenta ejecutiva de seguridad de Microsoft, escribió que los modelos de frontera no pueden ser totalmente confiables, porque se entrenan para lograr un resultado y no para seguir las normas de la organización. Según ella, estos agentes son impredecibles: pueden actuar de formas que nadie previó e incluso colaborar entre sí para alcanzar un objetivo sin necesidad de ser comprometidos.

El problema del agente que ya está dentro

De acuerdo con Microsoft, los agentes corporativos suelen tener acceso demasiado amplio a datos, herramientas y sistemas, y su número crece con rapidez dentro de las empresas. La compañía llama a este riesgo el agente interno, en la traducción del término agentic insider que usa la propia Microsoft: un programa que la empresa puso a trabajar, pero que puede terminar actuando como una amenaza desde dentro.

El movimiento llega cuando más empresas ponen a trabajar agentes de IA como Claude Code, Codex y GitHub Copilot en tareas cotidianas con acceso a sistemas internos, y los equipos de seguridad buscan formas de supervisar agentes que pueden actuar por sí mismos, según Microsoft.

La respuesta de Microsoft son los llamados Guardian Agents, término que la empresa describe como ya usado en la industria: agentes que vigilan y pueden contener cada acción de cualquier otro agente antes de que ocurra, las 24 horas. Esa vigilancia forma parte de Project Perception, el sistema de seguridad que Microsoft presentó en julio, según la propia compañía.

Proteger a los agentes, dijo Microsoft en su publicación original, exige protección en varias capas a la vez: identidad, permisos, datos, endpoints, red, nube y tiempo de ejecución. La compañía sostiene que los equipos de seguridad ya pueden observar lo que hace un agente, pero necesitan herramientas que les ayuden a entender por qué actuó de cierta forma, y si esa acción coincidió con la intención de la tarea que se le asignó.

Puntaje de riesgo continuo

SiliconANGLE detalla cómo funciona la vigilancia. Las herramientas de descubrimiento de Microsoft ahora identifican 60 tipos de agentes que corren de forma local en los equipos de los empleados, 35 más que antes, entre ellos Claude Code, de Anthropic, Codex, de OpenAI, y GitHub Copilot, de la propia Microsoft. Cada agente detectado recibe una identidad propia dentro de Microsoft Entra Agent ID.

Según SiliconANGLE, a partir de ahí cada agente lleva una nota de riesgo actualizada de forma continua, llamada Dynamic Agent Risk, que sube cuando el comportamiento del agente se aleja de lo que el usuario o la empresa querían. Una nota más alta activa el Dynamic Conditional Access: el agente puede perder primero la capacidad de modificar cualquier cosa y quedarse solo con acceso de lectura, las acciones de mayor impacto pueden retenerse para aprobación humana, y en el extremo de la escala el entorno de ejecución se aísla o se detiene por completo.

SiliconANGLE también describe el Dynamic Permissions, que limita el acceso de un agente a lo que necesita la tarea del momento, dentro de un límite general de la empresa que evita que el agente llegue a tener más autoridad que la persona para la que trabaja. Microsoft Execution Container es uno de los entornos aislados en los que puede correr un agente: como la vigilancia queda fuera del contenedor, un agente comprometido no puede desactivarla, según el reportaje.

En la práctica

  • Quién puede usarlo: empresas clientes de Microsoft que adopten Project Perception dentro del paquete Microsoft 365 E7, que combina Agent 365 con Microsoft 365 Copilot, según Microsoft.
  • Desde cuándo: Microsoft no dio fecha de disponibilidad general ni precio para los nuevos controles; la empresa dijo que dará más detalles en Microsoft Ignite, que abre el 17 de noviembre, según SiliconANGLE.
  • Qué cambia: antes, la vigilancia de agentes internos era más limitada; ahora el puntaje de riesgo es continuo y puede restringir o aislar a un agente de forma automática, sin esperar a una brecha.
  • Quién se ve afectado: empresas que ya usan agentes como Claude Code, Codex o GitHub Copilot en sus operaciones internas, en España, América Latina y el resto del mundo, que ahora pueden ser detectados y monitoreados por las nuevas herramientas, según SiliconANGLE.

Gallot escribió además que los próximos controles deberían explicar no solo qué hizo un agente, sino por qué, lo que exige ver los tokens de razonamiento del modelo y no solo sus entradas y salidas. Según ella, esa transparencia no sustituye la contención, pero debe hacerla más precisa.