Microsoft incorpora agentes Guardian a Project Perception para abordar el riesgo interno relacionado con la IA

El 19 de octubre de 2026, Microsoft anunció nuevas capacidades de seguridad en Project Perception y Microsoft 365 E7 que consideran a los agentes de IA empresariales posibles amenazas internas. La compañía presentó agentes Guardian que supervisan continuamente las acciones de los agentes y controles de políticas que ajustan lo que cada agente puede hacer a medida que cambia su nivel de riesgo.

Nadim Abdo, vicepresidente corporativo de identidad y acceso a la red de Microsoft, escribió que los agentes de IA asumen una proporción cada vez mayor del trabajo cotidiano y que, para ser útiles, a menudo necesitan acceder a datos, aplicaciones, herramientas y otros agentes de la empresa. También escribió que el mismo acceso que los hace útiles genera riesgos internos: los agentes pueden ser manipulados, cometer errores o verse comprometidos, y pueden funcionar continuamente a velocidad de máquina.

Abdo dijo que Microsoft está ampliando Project Perception, presentado en julio de 2026 con equipos de agentes rojos, azules y verdes para defenderse de ataques impulsados por IA desde fuera de la empresa, con el fin de proteger a los agentes que ahora operan dentro de ella. Project Perception y Microsoft Agent 365 comparten señales, contexto y un registro unificado para que los equipos de TI y seguridad tengan la misma visión de los agentes y sus riesgos. Microsoft describe cuatro responsabilidades continuas del sistema: saber qué agentes existen; contener lo que cada agente puede consultar y hacer antes de que actúe; proteger los datos, las herramientas y los sistemas a su alcance; y adaptar la protección a medida que cambian el comportamiento, el contexto y el riesgo.

En una publicación complementaria en The Official Microsoft Blog, Hayete Gallot, cuyo ámbito de responsabilidad en Microsoft abarca la identidad, la protección contra amenazas, el cumplimiento y la seguridad de los datos, escribió que las empresas implementaron agentes internamente y, por tanto, confiaron implícitamente en ellos, aunque con frecuencia tienen privilegios excesivos y acceso a datos, herramientas y sistemas. Los describió como «amenazas internas impulsadas por agentes» y afirmó que contenerlos exigirá agentes Guardian que supervisen y moderen cada acción de los agentes, a toda hora y antes de que ocurra. También escribió que la misma infraestructura de ciberseguridad que sustenta Project Perception puede orientarse hacia el interior para gestionar y gobernar los agentes que operan dentro de la empresa, aplicando controles basados en reglas a una inteligencia de modelos cuyo comportamiento no es predecible.

Detección, identidad y contención

Microsoft está ampliando la detección de agentes para incluir 35 tipos adicionales de agentes locales, lo que eleva a 60 el total de agentes locales compatibles, entre ellos Claude Code, OpenAI Codex y GitHub Copilot. Las organizaciones pueden incorporar estos agentes a un registro unificado, independientemente de cómo se hayan detectado, para conocer quién es responsable de ellos, su actividad y sus riesgos.

Microsoft también está ampliando Microsoft Entra Agent ID con tipos de identidad para otros patrones de agentes, incluidos los agentes locales y los previamente desconocidos que detectan los sensores de seguridad, de modo que un agente pueda convertirse en objetivo de una política incluso si no se integró originalmente con Microsoft Security. Abdo escribió que una identidad de agente de primera clase sirve de base para la atribución, la autorización, el ciclo de vida, la responsabilidad, los permisos, las políticas y el riesgo, lo que permite a la empresa distinguir entre lo que hizo una persona y lo que hizo un agente en su nombre.

Para la contención, Microsoft señaló que los entornos aislados, como Microsoft Execution Container (MXC), proporcionan a los agentes acceso a los recursos necesarios para una tarea, sujeto a políticas, y crean un límite de cumplimiento que permite que los controles operen fuera del alcance del agente. Así, un agente o entorno de ejecución comprometido no puede desactivar los controles que lo supervisan. Abdo escribió que tampoco debería permitirse que los agentes llamen libremente a cualquier herramienta, API, servidor del Model Context Protocol, recurso u otro agente que encuentren; los controles locales, de red y de datos deben mediar esas conexiones, observar las llamadas y aplicar las políticas empresariales.

Los nuevos permisos dinámicos hacen que un agente empiece sin autoridad y le conceden únicamente permisos limitados a la tarea y con una duración determinada. Las políticas de toda la organización establecen el límite externo e impiden, entre otras cosas, que un agente obtenga una autoridad de la que carece el usuario. Además, las acciones de mayor impacto pueden requerir la aprobación verificada de una persona.

Riesgo dinámico y agentes Guardian

La evaluación dinámica del riesgo de los agentes combina señales de la actividad del propio agente con señales de identidad, datos, dispositivos, nube, red y entorno de ejecución. Para ello, pondera la configuración del agente, los recursos a su alcance, el daño que podría causar un fallo y cualquier desviación entre sus acciones y las intenciones del usuario o de la organización. Microsoft describió el resultado como una comprensión del riesgo actual de un agente que se actualiza continuamente y muestra si la autoridad que tiene sigue correspondiéndose con ese riesgo.

El acceso condicional dinámico amplía Microsoft Entra Conditional Access para los agentes, de modo que un cambio en el riesgo pueda desencadenar medidas coordinadas en varios puntos de aplicación de controles. La respuesta es gradual: una política puede mantener el acceso de lectura de un agente y, al mismo tiempo, bloquear las escrituras; limitar los datos y recursos a los que puede acceder; restringir las rutas de red; acortar o revocar el acceso de duración limitada; reducir los permisos; o exigir una aprobación humana verificable antes de permitir que se lleve a cabo una acción de importancia. En los niveles de riesgo más altos, el sistema puede aislar el entorno de ejecución del agente o detener por completo su ejecución. Abdo puso como ejemplo un agente que aprueba gastos y encuentra una inyección de instrucciones en un documento externo: nueva evidencia eleva su nivel de riesgo dinámico y la política responde manteniendo el acceso de lectura, pero retirándole la capacidad de aprobar o escribir, y exigiendo una aprobación humana verificable criptográficamente para cualquier acción de gran impacto.

Microsoft también está incorporando Playbooks y un equipo de Guardian Agents en Project Perception: las personas definen las políticas, los límites de aprobación y las reglas de delegación; Playbooks define el resultado de seguridad deseado y coordina las acciones de protección; y Guardian Agents se encargan de ejecutarlas a velocidad de máquina. Terrell Cox, vicepresidente corporativo de Microsoft y director adjunto de seguridad de la información para la seguridad de los clientes, afirmó que Microsoft ya opera como Customer Zero en un mundo con cientos de miles de agentes y que las lecciones aprendidas en ese contexto influyen directamente en las capacidades que se están ofreciendo ahora.

Microsoft dijo que está incorporando señales de cadena de pensamiento y otras señales a nivel de modelo en Dynamic Agent Risk para ayudar a identificar desviaciones en la intención, detectar cuándo información no confiable influye en el razonamiento de un agente y determinar cuándo las acciones previstas se apartan de la tarea asignada, manteniendo al mismo tiempo la aplicación de las políticas independiente del modelo. «El sistema agéntico más confiable no será el que tenga el modelo en el que más confiamos», escribió el presidente y director ejecutivo Satya Nadella en unas declaraciones citadas en el anuncio del blog de seguridad de Microsoft. «Será el que esté diseñado para permitirnos confiar menos en el modelo».

Antecedentes de Microsoft 365 E7 y Agent 365

El blog de seguridad de Microsoft describe el anuncio del 19 de octubre como nuevas capacidades de Microsoft 365 E7 y Project Perception. Microsoft detalló el paquete en una publicación de marzo de 2026 en el blog de seguridad. Microsoft 365 E7: The Frontier Suite estuvo disponible de forma general el 1 de mayo de 2026, a un precio de venta al público de 99 dólares por usuario al mes, e incluye Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite y Microsoft 365 E5, con capacidades avanzadas de Defender, Entra, Intune y Purview. Microsoft Agent 365, el plano de control para observar, gobernar y proteger agentes en toda una organización, estuvo disponible de forma general ese mismo día, a un precio de 15 dólares por usuario al mes.