Por Redacción Pangea IA · 20 de octubre de 2026
Microsoft quiere tratar a los agentes de inteligencia artificial que operan dentro de una empresa como una nueva clase de riesgo interno. La compañía ha ampliado Project Perception con controles que descubren agentes, les asignan una identidad propia, calculan su riesgo de forma continua y pueden reducir sus permisos, exigir aprobación humana o detener su ejecución cuando se desvían de la tarea autorizada.
La novedad, anunciada el 19 de octubre, no consiste en un nuevo modelo de IA, sino en una capa de vigilancia y contención situada fuera del modelo. Microsoft sostiene que un agente puede empezar comportándose correctamente y cambiar después al recibir una instrucción manipulada, encontrar datos no fiables o intentar una acción que no formaba parte del encargo. Su propuesta es que la seguridad reaccione a ese cambio a la misma velocidad a la que actúa el software.
Qué ha anunciado Microsoft
Project Perception se presentó originalmente en julio como un sistema de seguridad basado en agentes para ayudar a los defensores frente a ataques externos. La ampliación comunicada ahora desplaza el foco hacia los llamados agentic insiders: agentes desplegados por la propia organización que acceden a aplicaciones, datos, herramientas, API y otros agentes.
Microsoft agrupa la propuesta en cuatro tareas permanentes: saber qué agentes existen y quién responde por ellos; limitar lo que cada uno puede hacer antes de que actúe; proteger los recursos que encuentra en su recorrido; y modificar las defensas cuando cambian su comportamiento, su contexto o su nivel de riesgo.
La compañía también amplía la detección a 35 tipos adicionales de agentes locales, hasta un total declarado de 60. Entre los ejemplos citados figuran Claude Code, OpenAI Codex y GitHub Copilot. El inventario se integra en un registro común con Microsoft Agent 365, de modo que los equipos de tecnología y seguridad puedan asociar cada agente con un propietario, una actividad y una política.
Por qué un agente puede convertirse en un riesgo interno
Un agente no es únicamente un chatbot. Puede combinar un modelo, un programa que organiza sus pasos, un entorno de ejecución y acceso a herramientas capaces de leer o modificar información. Cuanto más útil resulta, más tentador es concederle permisos amplios. Ahí aparece el problema: un error, una instrucción inyectada en un documento o una integración comprometida puede convertir esos permisos en una vía de acceso.
La cuestión no es que el agente tenga intención maliciosa, sino que sus resultados son variables y su contexto cambia mientras trabaja. Este riesgo ya no es teórico para las empresas: los agentes de IA ya automatizan partes de ataques informáticos, mientras que las plataformas corporativas les permiten ejecutar cada vez más acciones sin intervención constante.
La arquitectura propuesta separa la inteligencia de la autoridad. El modelo puede decidir cómo resolver una tarea, pero no debería decidir por sí mismo a qué datos entra, qué transacciones aprueba ni cuándo puede saltarse una barrera. Esos límites se aplican mediante sistemas independientes que el agente no controla.
Dynamic Permissions: acceso temporal y ligado a la tarea
El primer cambio práctico es Dynamic Permissions. En lugar de heredar todos los privilegios de la persona que lo utiliza, el agente comienza sin acceso o con el mínimo imprescindible. Recibe permisos propios, limitados a una tarea y durante un periodo determinado. La política general de la empresa impide además que el agente obtenga una autoridad que su responsable humano no posee.
Microsoft pone como ejemplo un agente que revisa gastos. Puede leer solicitudes, consultar la política y aprobar importes rutinarios, pero no necesita acceder a toda la cuenta del empleado ni modificar cualquier registro financiero. Cuando termina, el permiso temporal puede retirarse. Las decisiones de mayor impacto pueden quedar sujetas a una aprobación humana verificable.
El enfoque aplica a los agentes los principios de mínimo privilegio y confianza cero utilizados desde hace años con usuarios y aplicaciones. También coincide con la idea de crear barreras externas, como las que plantea la plataforma de NVIDIA para contener agentes fuera de control, aunque Microsoft la integra con sus sistemas de identidad y seguridad empresarial.
Dynamic Agent Risk: una puntuación que cambia mientras trabaja
Dynamic Agent Risk combina señales de identidad, datos, dispositivos, nube, red, entorno de ejecución y actividad del propio agente. No genera una etiqueta fija durante el alta: recalcula si la configuración sigue siendo segura, qué recursos están al alcance, qué impacto tendría un fallo y si las acciones se apartan de la intención de la tarea.
Eso permite distinguir entre niveles de respuesta. Si un agente encuentra contenido no fiable y trata de ejecutar una acción inesperada, la empresa no tiene que elegir únicamente entre permitirlo todo o apagarlo. Puede conservar la lectura, bloquear la escritura, reducir los recursos disponibles, restringir rutas de red o acortar la duración del acceso.
Dynamic Conditional Access: contener antes de investigar
La puntuación alimenta Dynamic Conditional Access, una extensión para agentes del acceso condicional de Microsoft Entra. Cuando sube el riesgo, las políticas coordinan respuestas en distintos puntos de control. Pueden revocar permisos temporales, obligar a que una persona apruebe el siguiente paso o, en los casos más graves, aislar el entorno de ejecución y detener el agente.
La diferencia respecto a una alerta tradicional es el tiempo. Un analista puede tardar minutos u horas en estudiar un aviso; un agente automatizado puede completar cientos de pasos durante ese intervalo. Microsoft plantea contener primero la capacidad peligrosa y mantener, cuando sea posible, las funciones que siguen siendo seguras.
Guardian Agents: agentes que supervisan a otros agentes
Project Perception incorpora nuevos manuales de respuesta y equipos de Guardian Agents. Las personas definen políticas, límites de aprobación y objetivos. Los agentes guardianes analizan por qué ha cambiado el riesgo, reúnen evidencias, recomiendan o aplican medidas de contención y ayudan a endurecer las reglas después del incidente.
La idea responde a un problema de escala: una organización con miles de agentes no puede revisar manualmente cada acción. Sin embargo, también abre una segunda capa de dependencia. El sistema que vigila debe estar separado del agente supervisado, dejar trazabilidad y conservar decisiones relevantes bajo control humano. Sustituir una automatización opaca por otra no resolvería el problema.
| Función | Qué hace | Límite conocido |
|---|---|---|
| Dynamic Permissions | Concede acceso temporal y ajustado a la tarea | Depende de identidades, inventario y políticas bien configuradas |
| Dynamic Agent Risk | Actualiza el riesgo con señales técnicas y de actividad | Microsoft no ha publicado datos independientes de precisión |
| Dynamic Conditional Access | Reduce permisos, exige aprobación o detiene la ejecución | La cobertura real varía según las integraciones disponibles |
| Guardian Agents | Investigan y coordinan respuestas automáticas | Necesitan límites, auditoría y supervisión humana |
Qué significa para pymes y empresas españolas
Para una pyme, la noticia no obliga a comprar inmediatamente una nueva plataforma. Sí confirma un cambio de criterio: un agente con acceso a correo, archivos, CRM, contabilidad o repositorios de código debe gestionarse como una identidad diferenciada, no como una simple función dentro de la cuenta de un empleado.
Antes de desplegar agentes con capacidad de actuar, una empresa puede aplicar cinco medidas compatibles con cualquier proveedor:
- Crear una identidad separada para cada agente y asignar un responsable humano.
- Registrar qué datos, herramientas y sistemas puede utilizar.
- Conceder permisos mínimos, temporales y vinculados a una tarea concreta.
- Exigir aprobación humana para pagos, cambios de permisos, borrados o comunicaciones sensibles.
- Conservar registros de actividad y probar cómo responde el sistema ante una instrucción manipulada.
En España y la Unión Europea, ese inventario también ayuda a documentar responsabilidades, accesos y medidas de seguridad. Project Perception no sustituye el análisis jurídico ni las obligaciones aplicables en protección de datos, seguridad laboral o sistemas de alto riesgo. Es una herramienta técnica, no una garantía automática de cumplimiento.
Disponibilidad y precio: lo que todavía no se sabe
Microsoft presenta estas capacidades dentro de su estrategia de Project Perception, Agent 365 y Microsoft 365 E7, pero no ha publicado una fecha concreta de disponibilidad para cada nueva función. Tampoco ha confirmado si Dynamic Permissions, Dynamic Agent Risk, Dynamic Conditional Access y los Guardian Agents supondrán un coste adicional al de los productos relacionados.
Esta ausencia es importante para evaluar la noticia. La arquitectura está descrita con detalle, pero aún faltan datos sobre despliegue por países, licencias necesarias, límites técnicos y eficacia fuera de las pruebas de Microsoft. The Next Web destacó expresamente estas incógnitas. Por tanto, conviene interpretar el anuncio como una dirección de producto verificable, no como una capacidad universal que todas las empresas puedan activar hoy.
La lectura de fondo
El giro de Microsoft muestra que la seguridad de la IA empresarial está pasando de examinar únicamente el modelo a controlar todo el sistema que lo rodea: identidad, permisos, datos, conexiones, herramientas y entorno de ejecución. Es un cambio relevante porque reconoce que el riesgo aparece durante la acción, no solo al entrenar o evaluar un modelo.
También hay que mantener una mirada crítica. Microsoft vende buena parte de la infraestructura que propone para resolver el problema y todavía no existen pruebas independientes publicadas sobre la tasa de aciertos de sus puntuaciones dinámicas o sus agentes guardianes. El principio de separar inteligencia y autoridad es sólido; la calidad de la implementación tendrá que medirse cuando las funciones estén disponibles y se conozcan sus condiciones.
Para las empresas, la conclusión práctica es inmediata: no esperar a que llegue un producto concreto para clasificar los agentes, reducir privilegios y fijar decisiones que siempre requieren intervención humana. Si los agentes van a trabajar a velocidad de máquina, sus límites no pueden depender de una revisión ocasional.
Lecturas relacionadas
- Agentes de IA ya automatizan ataques contra empresas
- NVIDIA lanza una plataforma para contener agentes de IA fuera de control
- Microsoft convierte Copilot en un centro de trabajo con código y agentes
Fuentes consultadas
- Microsoft Security Blog: Agents are your newest insiders, publicado el 19 de octubre de 2026.
- Microsoft Source EMEA: Proteger al agente interno, publicado el 19 de octubre de 2026.
- TechCrunch: Microsoft says AI agents are like insider threats, publicado el 19 de octubre de 2026.
- The Next Web: Microsoft adds tools to limit and monitor AI agents, publicado el 19 de octubre de 2026.
Fuentes consultadas el 20 de octubre de 2026.
Deja una respuesta