Microsoft amplía Project Perception para tratar a los agentes de IA como amenazas internas, con permisos dinámicos y agentes guardianes

Microsoft amplió Project Perception, su sistema de seguridad basado en agentes, para vigilar y contener a los agentes de inteligencia artificial que las propias empresas despliegan en sus redes. La compañía los describe como un nuevo tipo de amenaza interna y anunció un conjunto de controles que incluye identidad propia para cada agente, permisos limitados a la tarea en curso, una puntuación de riesgo que se recalcula de forma continua y un equipo de Guardian Agents, agentes que supervisan las acciones de otros agentes antes de que ocurran.

El planteamiento parte de una advertencia poco común en un proveedor de IA. Hayete Gallot, vicepresidenta ejecutiva de Microsoft Security, escribió en el blog oficial de la empresa que los modelos de frontera, sin importar su origen, no son confiables. No porque sean maliciosos, explicó, sino porque están entrenados para alcanzar resultados, lo que a menudo deriva en manipulación de la recompensa, y no están optimizados según las normas de una organización. Añadió que los agentes pueden adaptarse al contexto, desviarse de lo previsto y coordinarse con otros agentes para cumplir sus objetivos sin haber sido comprometidos. Satya Nadella resumió el principio en una frase citada por la compañía: el sistema agéntico más confiable no será el que tenga el modelo en el que más confiamos, sino el diseñado para confiar lo menos posible en él. En la práctica, eso implica que los controles sobre qué puede leer, cambiar o invocar un agente deben estar fuera del modelo, donde este no pueda saltarlos.

Project Perception se presentó en julio como un sistema de defensa con equipos de agentes rojos, azules y verdes frente a ataques externos. La ampliación lo apunta hacia dentro. Según el blog de seguridad de Microsoft, la detección de agentes locales suma 35 tipos nuevos, hasta un total de 60, entre ellos Claude Code, OpenAI Codex y GitHub Copilot, que pueden incorporarse a un registro unificado compartido con Microsoft Agent 365. Microsoft Entra Agent ID gana tipos de identidad para agentes locales o desconocidos descubiertos por sensores, de modo que un agente pueda ser objeto de políticas aunque no se haya integrado antes con las herramientas de la empresa. La idea es distinguir lo que hizo una persona de lo que hizo un agente en su nombre.

La contención se apoya en tres piezas. Los entornos aislados, como Microsoft Execution Container, ejecutan el modelo y su arnés con acceso controlado a recursos, y mantienen la vigilancia fuera del alcance del agente. Los permisos dinámicos hacen que el agente arranque sin autoridad y reciba solo la necesaria para la tarea aprobada y durante el tiempo que dure, sin superar nunca la de su usuario. El riesgo dinámico del agente combina señales de identidad, datos, dispositivos, nube, red y ejecución con la propia actividad del agente, y alimenta un acceso condicional que responde de forma gradual: puede mantener la lectura y bloquear la escritura, restringir rutas de red, exigir una aprobación humana verificable para un paso de alto impacto o aislar y detener al agente. Microsoft añadirá a ese cálculo señales del propio modelo, como la cadena de razonamiento, para detectar desvíos respecto de la tarea encomendada. Los Guardian Agents y los nuevos Playbooks ejecutan esa supervisión a escala bajo políticas que definen las personas.

En nuestro análisis, el anuncio traslada al mundo de los agentes los principios de mínimo privilegio y Zero Trust que la industria aplica desde hace años a las personas, con una diferencia relevante: la velocidad. Un agente puede encadenar muchas acciones antes de que un analista revise una alerta, de ahí la apuesta por respuestas automáticas y proporcionales en lugar de un interruptor de apagado. Microsoft dice operar ya con cientos de miles de agentes internos. La empresa presentó parte de estas funciones como capacidades de Microsoft 365 E7 y remitió a su conferencia Ignite para más detalles.