Microsoft publicó este lunes 19 de octubre de 2026 un nuevo marco de seguridad para agentes autónomos de inteligencia artificial, basado en una premisa que marca un cambio de paradigma: los propios agentes de IA que las empresas implementan pueden convertirse en riesgos de seguridad internos. La frase contundente vino directamente de la jefa de seguridad de la empresa, Hayette Gallot, quien afirmó sin rodeos: "Los modelos frontera, independientemente de su origen, no pueden ser de confianza."
Esto no es una crítica a la calidad de los modelos de IA, sino una advertencia sobre la naturaleza fundamentalmente impredecible de sistemas entrenados para alcanzar objetivos, no para seguir normas organizacionales ni ejercer juicio contextual. En otras palabras, un modelo puede hacer exactamente lo que fue programado para hacer — y, sin embargo, causar un destrozo que nadie anticipó.
El marco de Microsoft, llamado Guardian Agents, forma parte del proyecto Perception, anunciado originalmente en junio de 2026. En aquella ocasión, el proyecto presentaba tres clases de agentes: un "equipo rojo" que atacaba como hackers, un "equipo azul" que detectaba a los invasores y evaluaba vulnerabilidades, y un "equipo verde" encargado de corregirlos. El enfoque se basaba en la suposición de que las amenazas vendrían desde fuera de la empresa. Pero, según el CEO Satya Nadella, el enemigo puede ser el propio agente que la organización implantó y está pagando.
"No podemos externalizar la responsabilidad de lo que la inteligencia hace en nuestro nombre. Las garantías de un proveedor de modelo no nos liberan de esa responsabilidad", escribió Nadella en un blog. La solución propuesta divide lo que proporciona inteligencia del control sobre esa inteligencia.
Lo que motiva este cambio de postura son datos concretos de uso. La empresa ya detecta hasta 60 tipos diferentes de agentes de IA en el entorno laboral, incluyendo Claude Code, OpenAI Codex, GitHub Copilot y otras herramientas de desarrollo que los empleados pueden ejecutar localmente sin pasar por el departamento de TI. Estos agentes tienen acceso a sistemas críticos, datos sensibles y herramientas operativas — y, a diferencia de un empleado humano, operan a velocidad de máquina.
El marco introduce dos conceptos nuevos. El primero son los "permisos dinámicos", que aplican el principio del menor privilegio a agentes autónomos: un agente de aprobación de gastos comienza con acceso estrictamente delimitado a revisar y aprobar gastos, nada más. Si el agente intenta realizar una acción fuera de esa tarea —como acceder al sistema de RRHH o modificar credenciales— los permisos disminuyen o desaparecen instantáneamente. El segundo concepto es el "riesgo dinámico del agente", una puntuación continuamente actualizada que combina señales de identidad, endpoints, red, nube, runtime y el propio comportamiento del agente para evaluar si lo que está haciendo corresponde a lo autorizado.
Cuando el riesgo aumenta, la respuesta es graduada: mantener lecturas mientras bloquea escrituras, restringir recursos accesibles, solicitar aprobación humana para etapas de alto impacto o interrumpir la ejecución completamente. No es binario. Microsoft reconoce que, si la respuesta es "apagar", se pierde más productividad de la que se protege.
El enfoque refleja un cambio más amplio en la industria de la ciberseguridad. Gartner estimó que, para 2029, más del 50% de los ataques exitosos contra agentes de IA explotarán problemas de control de acceso, usando inyección de prompt directa o indirecta como vector de ataque. Lo que diferencia el nuevo marco es que no presupone que el agente es malicioso — presupone que es impredecible, y que la imprevisibilidad a escala empresarial es tan peligrosa como la maldad intencional.
Un detalle interesante: la propia Microsoft es miembro fundadora de la Open Agent Safety Platform, lanzada por Nvidia con el respaldo de más de 100 empresas tecnológicas. La plataforma aísla agentes en entornos seguros y puede monitorear e interrumpir su comportamiento a nivel de hardware. Es decir, la misma empresa que está advirtiendo que los agentes no pueden ser confiables también está invirtiendo en infraestructura que los contiene a nivel de chip.
La paradoja más intrigante del marco, sin embargo, está en los propios Guardian Agents. Son agentes de IA supervisando otros agentes de IA. Si los modelos frontera no pueden ser confiables, ¿cómo confiar en los agentes diseñados para detectarlos cuando fallan o son manipulados? Microsoft responde que los controles de seguridad deben operar fuera del modelo de IA y no pueden ser alterados por él. Pero esto plantea una pregunta que la industria aún no ha respondido completamente: ¿quién vigila a los vigilantes cuando los vigilantes son sistemas probabilísticos que operan a velocidad de máquina?
La respuesta de la empresa, en tono pragmático, es que "el objetivo no es hacer cada modelo perfectamente predecible antes de que sea útil". El objetivo es construir sistemas que permanezcan seguros incluso cuando el modelo no lo es. Una distinción sutil pero importante: no se trata de eliminar el riesgo, sino de gestionarlo en tiempo real.
Lo que observamos aquí es menos sobre seguridad de software tradicional y más sobre la construcción de un sistema de contención continua para entidades que aprenden y actúan de forma autónoma. La pregunta que queda: ¿podrá la tecnología de contención mantener el ritmo de la evolución de los propios agentes que necesita controlar?
Fuentes: TechCrunch, Security Affairs, TechRadar
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
