Microsoft: agentes de IA como amenazas internas, permisos dinámicos

Microsoft ha presentado un conjunto de controles para vigilar y limitar los agentes de inteligencia artificial que las empresas ejecutan internamente. La idea de fondo, recogida por Help Net Security, Security Affairs y SecurityWeek, es tratar a los agentes como posibles amenazas internas y no como software de confianza por definición. Según SecurityWeek, el anuncio se hizo el lunes 19 de octubre de 2026.

Las novedades amplían Project Perception, el sistema de seguridad «agéntico» que, según SecurityWeek, Microsoft lanzó en julio contra los ataques con IA procedentes del exterior y que ahora aplica también a los agentes internos.

Por qué «amenaza interna»

Microsoft aclara que la etiqueta no significa que los agentes sean maliciosos. Nadim Abdo, vicepresidente de identidad y acceso a la red, explica que son herramientas capaces, a las que los usuarios conceden acceso a sistemas importantes, y que pueden equivocarse, ser manipuladas o verse comprometidas. Hayete Gallot, vicepresidenta ejecutiva de Microsoft Security, añade que a menudo los agentes tienen más privilegios de los necesarios y toman decisiones dentro de procesos críticos.

El punto técnico, que subraya Security Affairs, es que un agente que arranca con los permisos correctos puede volverse peligroso durante la ejecución: una instrucción oculta en un documento externo (prompt injection), datos no fiables que desvían su razonamiento, una tarea que evoluciona de forma imprevista. No hace falta un compromiso en el sentido clásico, y a velocidad de máquina el margen entre la desviación y el daño es muy corto. Por eso Microsoft propone rodear un sistema no determinista con controles deterministas, que están fuera del modelo y que el modelo no puede modificar, sobre identidad, permisos, datos, endpoints, red, nube y entornos de ejecución.

Inventario e identidad de los agentes

• Descubrimiento: Microsoft Security reconoce 35 tipos más de agentes locales, 60 en total, entre ellos Claude Code, OpenAI Codex y GitHub Copilot. Los agentes descubiertos se pueden llevar a un registro único, compartido con Microsoft Agent 365, el plano de control para desplegar y gobernar agentes, con propietario, actividad y riesgo.
• Identidad: Microsoft Entra Agent ID se amplía a más tipos de agentes, incluidos los locales y los desconocidos que detectan los sensores. Cada agente tiene una identidad distinta de la de la persona que lo usa o lo patrocina, para separar las acciones del usuario de las que el agente realiza en su nombre. Según Help Net Security, un agente puede ser objeto de políticas aunque no estuviera integrado con los productos de seguridad de Microsoft.

Help Net Security también señala la necesidad de controlar las conexiones de los agentes con herramientas, API, servidores MCP (Model Context Protocol), datos y otros agentes, examinando tanto los destinos como el contenido intercambiado: datos sensibles e instrucciones no fiables.

Permisos dinámicos y riesgo continuo

• Dynamic Permissions: el agente empieza sin permisos, o con el mínimo, y recibe solo la autoridad necesaria para la tarea aprobada y mientras dure. Los permisos se reducen o caducan cuando la tarea cambia o termina, el agente no puede obtener más autoridad que su usuario y las acciones de alto impacto pueden requerir la aprobación verificada de una persona. El empleado conserva sus propios accesos.
• Dynamic Agent Risk: una puntuación que se actualiza de forma continua y combina señales de identidad, datos, endpoints, nube, red, runtime y actividad del agente. Tiene en cuenta la configuración, los recursos alcanzables, el daño posible y los indicios de desviación respecto a la intención del usuario o de la organización.
• Dynamic Conditional Access: lleva el Conditional Access de Entra a los agentes. Según el riesgo, la respuesta es gradual: lectura permitida y escritura bloqueada, menos datos y recursos accesibles, conexiones de red restringidas, accesos temporales acortados o revocados, aprobación humana. En los niveles más altos, aislamiento del runtime o detención de la ejecución.

El ejemplo de Microsoft: un agente que procesa gastos encuentra instrucciones sospechosas e intenta una acción ajena a su tarea. El sistema le retira el permiso para aprobar gastos, pero le deja el de revisarlos; si el riesgo sigue subiendo, lo aísla o lo detiene.

Guardian Agents y Playbooks

Para gestionar los volúmenes (Microsoft dice que ya tiene internamente cientos de miles de agentes), llegan los Playbooks, que definen el resultado de seguridad que se quiere obtener, y los Guardian Agents, agentes de seguridad que investigan por qué ha cambiado el riesgo de un agente, proponen o aplican la contención y usan lo que aprenden para reforzar las políticas. Las personas fijan objetivos, reglas y umbrales de aprobación.

Security Affairs señala el límite evidente: los Guardian Agents también son agentes de IA y pueden fallar o ser manipulados igual que los que controlan. Microsoft responde que los controles deben quedar fuera del modelo; cómo garantizarlo en la práctica está por verse en los despliegues reales. Las fuentes no indican fechas de disponibilidad, licencias ni el estado (versión preliminar o disponibilidad general) de cada función.

Impacto para las empresas europeas e italianas

No se trata de una vulnerabilidad, sino de un modelo de control que vale también para quien no usa productos de Microsoft. Un agente con credenciales corporativas es, en la práctica, una cuenta con privilegios: si se manipula, actúa con accesos legítimos, el mismo patrón de cuentas válidas (MITRE ATT&CK T1078) que hace difícil detectar muchas intrusiones. Para las entidades sujetas a NIS2, los agentes entran en las medidas del artículo 21 sobre gestión de activos, control de accesos y seguridad de la cadena de suministro; en el sector sanitario, donde los agentes pueden tocar datos clínicos, separar lectura y escritura y exigir aprobación humana para las acciones irreversibles es todavía más importante.

Qué hacer ya

1. Haz un inventario de los agentes, incluidos los locales en los equipos de los desarrolladores (agentes de programación como los citados), con las credenciales y los tokens que usan.
2. Da a cada agente una identidad propia, en lugar de dejar que use la sesión o los tokens del usuario, con permisos mínimos y de corta duración.
3. Separa lectura y escritura y exige la aprobación de una persona para borrados, pagos, despliegues en producción y cambios en las cuentas.
4. Limita las conexiones: servidores MCP, API y destinos de red permitidos; trata como no fiable cualquier contenido externo que lea el agente.
5. Registra las acciones de los agentes en un archivo central, define alertas para comportamientos fuera de la tarea y ten una forma de detenerlos de inmediato.
6. Si usas Entra y Microsoft 365, comprueba con Microsoft la disponibilidad y las licencias de Entra Agent ID, Agent 365 y las nuevas funciones antes de planificar su adopción.

Cómo ayuda ARXDOME

El agent de ARX Sentry, en Windows, Linux y macOS, recoge el inventario de software, procesos y puertos y los registros de seguridad de las máquinas: te ayuda a descubrir qué agentes de IA se ejecutan realmente en los equipos. Las páginas del SOC dedicadas a las identidades muestran accesos privilegiados, ráfagas de intentos y cambios en las cuentas. Si una máquina se comporta de forma sospechosa, ARX Shield te permite aislarla de la red con un clic y liberarla de forma controlada.

Última actualización: 20 de octubre de 2026