Los agentes de inteligencia artificial están pasando de ser herramientas experimentales a convertirse en participantes activos en los procesos empresariales. Y en los meses que vienen, esta tendencia se va a consolidar más. Si la primera ola de la IA estuvo dominada por modelos como ChatGPT, a partir de ahora serán los agentes los verdaderos reyes del mambo en este escenario. Los agentes pueden analizar información financiera, desarrollar código, gestionar gastos, consultar bases de datos o ejecutar tareas en diferentes aplicaciones.
Pero no todo son buenas noticias. Esa capacidad de actuación también abre una nueva vía de exposición para las organizaciones: el riesgo de que estos sistemas accedan a información sensible o realicen acciones que excedan sus funciones.
Microsoft quiere abordar este problema con nuevas capacidades de seguridad integradas en Project Perception, su iniciativa para aplicar inteligencia artificial a la ciberseguridad y proteger también a los propios agentes de IA. La propuesta parte de una premisa: los agentes desplegados dentro de una empresa pueden convertirse en una amenaza interna, aunque no hayan sido comprometidos por un atacante externo. La escena recuerda irremediablemente a aquel díscolo HAL 9000 que tomaba las riendas de la nave en ‘2001, una odisea del espacio’
Hayete Gallot, responsable en Microsoft de las iniciativas para ayudar a las organizaciones a operar de forma segura en un entorno impulsado por la IA, define a estos sistemas como agentic insiders, o agentes internos autónomos. Su comportamiento puede cambiar a medida que reciben nueva información, interpretan instrucciones o interactúan con otras herramientas y agentes. Por eso, sostiene, no basta con protegerlos durante su configuración inicial: es necesario supervisar sus acciones y adaptar sus permisos de forma continua.
En paralelo, Nadim Abdo, vicepresidente corporativo de identidad y acceso a la Red de Microsoft, ha detallado nuevas capacidades para controlar la identidad, los privilegios y el nivel de riesgo de estos sistemas. Entre ellas figuran la ampliación del inventario de agentes detectables, los permisos dinámicos y los mecanismos de acceso condicional que permiten limitar sus operaciones cuando aumenta el riesgo.
Índice de temas
Un agente, una identidad y unos permisos propios
Uno de los primeros desafíos consiste en saber cuántos agentes hay realmente dentro de una organización, quién los utiliza y a qué recursos pueden acceder. Algunos se despliegan desde plataformas corporativas; otros llegan a través de herramientas de terceros, kits de desarrollo o instalaciones locales que pueden quedar fuera de los procesos habituales de supervisión de los departamentos de TI.
Microsoft está ampliando sus capacidades de descubrimiento para incorporar 35 nuevos tipos de agentes locales, hasta alcanzar un total de 60 compatibles. Entre los sistemas que podrán identificarse figuran Claude Code, OpenAI Codex y GitHub Copilot.
El objetivo es incorporar los agentes detectados a un registro unificado que permita conocer su propietario, actividad y nivel de riesgo, con independencia de cómo hayan llegado a la organización.
La detección, sin embargo, es solo el primer paso. Microsoft también está ampliando Entra Agent ID para asignar identidades específicas a diferentes tipos de agentes, incluidos los locales y aquellos que no estaban integrados previamente con sus soluciones de seguridad.
La distinción es importante: un agente debe tener una identidad propia, diferente de la del empleado que lo utiliza o patrocina. De esta forma, la organización puede determinar qué acciones ha ejecutado una persona y cuáles ha realizado un sistema automatizado en su nombre. Esa identidad también permite establecer responsabilidades, controlar su ciclo de vida y aplicar políticas de acceso específicas.
La compañía pretende trasladar a los agentes principios de seguridad que ya se aplican a los usuarios humanos, como el mínimo privilegio y el modelo Zero Trust. En lugar de heredar todos los permisos de su responsable, cada agente debería disponer únicamente de las autorizaciones necesarias para completar una tarea concreta y durante el tiempo imprescindible.
Permisos dinámicos para limitar las acciones de la IA
Una de las principales novedades anunciadas por Microsoft son los dynamic permissions, o permisos dinámicos. Este mecanismo permite definir autorizaciones vinculadas a una tarea, limitar su duración y retirarlas o reducirlas cuando cambian las necesidades del proceso.
La idea es que el agente comience sin privilegios y reciba exclusivamente los que necesita para ejecutar el trabajo autorizado. Además, sus permisos no podrán superar los que tenga el usuario al que está asociado.
Pensemos en un agente encargado de tramitar notas de gastos. Puede necesitar consultar facturas, comprobar las políticas internas y aprobar determinados reembolsos. Sin embargo, no debería disponer automáticamente de acceso a toda la información financiera ni tener capacidad para modificar otros sistemas corporativos.
Si durante su actividad recibe una instrucción maliciosa o intenta realizar una operación ajena a su cometido, los mecanismos de seguridad deben poder restringir sus capacidades antes de que la acción tenga consecuencias.
Microsoft también introduce dynamic agent risk, un sistema que evalúa continuamente el riesgo asociado a cada agente a partir de señales procedentes de la identidad, los datos, los dispositivos, la nube, la red, el entorno de ejecución y la propia actividad del sistema.
La evaluación no se limita a una puntuación asignada durante la puesta en marcha. Se actualiza a medida que cambia el contexto, se detectan comportamientos inesperados o aparecen indicios de que el agente se está desviando de la tarea encomendada.
A esta capacidad se suma dynamic conditional access, que extiende el acceso condicional de Microsoft Entra a los agentes. Su función es adaptar las medidas de protección a la evolución del riesgo.
La respuesta no tiene por qué consistir en detener por completo el agente. El sistema puede mantener su capacidad para consultar información, pero bloquear las modificaciones; restringir el acceso a determinados datos; limitar las conexiones de red; retirar permisos temporales o exigir una aprobación humana verificable antes de ejecutar una operación de impacto elevado. Si el riesgo aumenta lo suficiente, también puede aislar el entorno de ejecución o detener el sistema.
Este enfoque permite graduar la respuesta y reducir la exposición sin interrumpir innecesariamente los procesos empresariales.
Guardian agents: supervisión continua y respuesta automatizada
La supervisión de miles de agentes plantea otro reto: los equipos de seguridad no pueden investigar manualmente cada alerta ni revisar cada operación a la velocidad a la que trabajan estos sistemas.
Para responder a esta situación, Microsoft está incorporando a Project Perception los denominados guardian agents, agentes de IA destinados a supervisar y proteger la actividad de otros agentes.
Estos sistemas trabajan con procedimientos de seguridad predefinidos, conocidos como playbooks, que establecen los resultados que se persiguen y coordinan las acciones de protección. Pueden ayudar a investigar por qué ha cambiado el nivel de riesgo, analizar las señales disponibles, recomendar medidas de contención y aplicar respuestas autorizadas.
La supervisión puede funcionar de manera continua, a velocidad de máquina, adaptándose a los cambios de comportamiento, contexto y políticas de seguridad. La intervención humana, no obstante, sigue siendo necesaria para definir los objetivos, establecer los límites de actuación y conservar el control sobre las decisiones de mayor impacto.
Esta arquitectura se apoya en una combinación de sensores, señales y mecanismos de actuación distribuidos por las distintas capas de la infraestructura: identidad, permisos, datos, dispositivos, red, nube y entorno de ejecución. La finalidad es que la protección no dependa exclusivamente del comportamiento declarado por el modelo de IA, sino de controles externos capaces de observar y limitar sus acciones.
Microsoft también señala que Project Perception y Agent 365 comparten señales, contexto y un registro unificado para proporcionar a los equipos de TI y seguridad una visión coherente del inventario de agentes y de los riesgos asociados.
Más transparencia sobre las decisiones del modelo
La evolución de los mecanismos de control abre otra cuestión: no basta con detectar qué ha hecho un agente; también es importante entender por qué ha intentado hacerlo y si su comportamiento responde a la tarea asignada.
El experto Hayete Gallot sostiene que la seguridad de los agentes debe avanzar hacia una mayor transparencia sobre el funcionamiento de los modelos. La información sobre las entradas y salidas puede ser insuficiente para determinar si un sistema está interpretando correctamente una instrucción o si está siendo influido por contenido no fiable.
Microsoft plantea incorporar señales adicionales del modelo, incluida información relacionada con su razonamiento, para mejorar la detección de desviaciones respecto al objetivo original. Esta información se integraría en Dynamic Agent Risk junto con el resto de señales de seguridad.
La compañía insiste, sin embargo, en que una mayor transparencia no sustituye a los mecanismos independientes de protección. El modelo no debe ser la autoridad encargada de decidir sus propios límites de seguridad. Esa responsabilidad debe recaer en controles externos que determinen a qué recursos puede acceder, qué operaciones está autorizado a realizar y cuándo debe interrumpirse su actividad.
La premisa es sencilla: la IA puede aportar capacidad de análisis y ejecución, pero no debe tener la última palabra sobre sus propios privilegios.
Reto y oportunidad para los MSP de seguridad
El avance de los agentes autónomos añade una nueva dimensión a la protección de las empresas. A las amenazas tradicionales se suma ahora la necesidad de controlar sistemas que actúan con permisos corporativos, acceden a información sensible y pueden encadenar operaciones en diferentes aplicaciones sin intervención humana en cada paso.
Para los proveedores de servicios gestionados y los especialistas en ciberseguridad, este escenario abre un campo de trabajo en ámbitos como el inventario y la gobernanza de agentes, la gestión de identidades no humanas, el control de privilegios, la protección de datos y la monitorización continua de comportamientos.
También aumenta la importancia de integrar las herramientas de seguridad con las plataformas de desarrollo y ejecución de agentes, así como de definir políticas que permitan automatizar tareas sin conceder a estos sistemas una autonomía ilimitada.
La propuesta de Microsoft busca precisamente que las empresas puedan ampliar el uso de la IA sin depender de que sus modelos sean completamente predecibles. En lugar de confiar en que un agente siempre actuará correctamente, plantea construir un entorno en el que sus acciones puedan observarse, limitarse y corregirse en tiempo real.
El reto para las organizaciones será trasladar este principio a sus propios entornos: identificar todos los agentes desplegados, asignarles una identidad, limitar sus privilegios y revisar continuamente si las acciones que intentan ejecutar siguen siendo coherentes con su cometido.
Porque, a medida que la IA gana autonomía, la seguridad ya no consiste únicamente en impedir que alguien entre en los sistemas corporativos. También exige controlar qué pueden hacer dentro de ellos los agentes a los que la propia empresa ha abierto la puerta.
