Microsoft quiere tratar a los agentes de IA como insiders con permisos que cambian mientras trabajan

Un agente comienza una tarea con acceso de lectura a una carpeta de proyecto. A mitad de la tarea, abre un documento que le indica que envíe la carpeta a una dirección externa. Nada de su identidad ha cambiado. Sus credenciales siguen siendo válidas. Su asignación de rol, revisada el trimestre pasado, sigue diciendo que puede leer y escribir en esa carpeta. Todos los controles creados para empleados y cuentas de servicio dejarían pasar el siguiente paso.

Ese es el problema que Microsoft puso en el centro de un anuncio del 19 de octubre de su organización de identidad y acceso de red: el insider agéntico. La frase es deliberada. Los programas de riesgo de insider existen porque personas de confianza a veces actúan contra la organización, por error o a propósito. El argumento de Microsoft es que los agentes ahora pertenecen a la misma categoría, con una diferencia que rompe las herramientas habituales: el comportamiento de un agente puede cambiar dentro de una sola tarea, a medida que cambia su contexto.

Cuatro mecanismos, una idea

Microsoft está ampliando Project Perception, el sistema de seguridad que presentó en julio, con un conjunto de mecanismos que descansan en la misma idea: la autorización debe recalcularse mientras el agente trabaja, no concederse una vez en el onboarding.

• Dynamic Permissions. Los agentes empiezan sin permisos. La política de la organización fija el límite exterior y, dentro de él, los permisos se acotan a la tarea, se limitan en el tiempo y se retiran cuando la tarea termina. Un agente no puede exceder la autoridad del usuario para el que trabaja, y las acciones de mayor impacto pueden requerir aprobación humana verificada.
• Dynamic Agent Risk. Una puntuación de riesgo que se actualiza de forma continua a partir de señales de identidad, datos, endpoint, nube, red, runtime y actividad del agente, en lugar de asignarse una sola vez.
• Dynamic Conditional Access. Microsoft Entra Conditional Access, extendido a los agentes, con respuestas graduadas: reducir permisos, después aislar el runtime y luego detener la ejecución.
• Guardian Agents. Un equipo de agentes dentro de Project Perception que realizan trabajo de protección definido en Playbooks, con personas que fijan los objetivos y conservan las decisiones consecuentes.

Alrededor de estos, el descubrimiento crece en 35 tipos de agentes locales hasta 60 compatibles, incluidos Claude Code, OpenAI Codex y GitHub Copilot, y Entra Agent ID añade tipos de identidad para agentes locales y para agentes desconocidos encontrados por sensores. Project Perception y Microsoft Agent 365 comparten señales, contexto y un único registro de agentes.

Una respuesta graduada en lugar de un interruptor de apagado

Funcionamiento normalEjecución detenida

1. Concesión acotada a la tareaEmpieza en cero, caduca con la tarea
2. Sube el riesgoNueva señal desde datos, endpoint o runtime
3. Permisos reducidosEl agente sigue trabajando con menos
4. Runtime aisladoContenido, evidencia preservada
5. DetenidoÚltimo recurso

Dónde el diseño acierta

La frase más sólida del anuncio no trata de una función. Microsoft afirma que la aplicación de las políticas sigue siendo independiente del modelo y que el modelo no puede ser su propia frontera de seguridad. Ese es el mismo principio que hay detrás de Microsoft Execution Containers, y es el correcto. Un guardrail dentro del prompt es un consejo. Un permiso retirado por Entra es un hecho.

Los permisos acotados a la tarea y con caducidad también resuelven un problema que la mayoría de los programas de agentes ha aceptado en silencio: el acceso permanente. Hoy muchos agentes se ejecutan bajo una entidad de servicio con los derechos que quien los construyó necesitaba durante el desarrollo, conservados para siempre porque nadie se hace cargo de la revisión. Un IAM débil falla más rápido con agentes, y “empieza en cero, termina con la tarea” es la respuesta más limpia al privilegio permanente hasta ahora.

La respuesta graduada importa más de lo que parece. Un agente detenido en mitad de un trabajo de varios pasos puede dejar el trabajo a medias, lo que es un incidente en sí mismo. Reducir primero el alcance y después aislar da a los equipos de operaciones una forma de contener un agente sin crear un segundo problema.

Qué confirmar antes de planificar en torno a esto

Disponibilidad. El anuncio usa “introducing” y “expanding” en todo el texto y no da disponibilidad general, estatus de preview, licencias ni precios para ninguno de los cuatro mecanismos. Microsoft Ignite se celebra del 17 al 20 de noviembre. Hasta que las páginas de producto digan lo contrario, trátelo como dirección, no como una capacidad que pueda poner en una matriz de control.

Qué ve una puntuación de riesgo. Dynamic Agent Risk es tan bueno como las señales que le llegan. Un agente que se ejecuta fuera de los 60 tipos compatibles, o que llama a herramientas que no reportan a la telemetría de Microsoft, recibe una puntuación con menos información. Una puntuación actualizada de forma continua es un mecanismo de detección, y ningún mecanismo de detección detecta todas las acciones inseguras.

Chain of thought como evidencia. Microsoft planea alimentar la puntuación de riesgo con señales a nivel de modelo, incluida la monitorización de chain-of-thought, para detectar deriva de intención. Es útil, pero el razonamiento visible de un modelo no es un relato completo de por qué actuó. Pertenece a la evidencia, no al veredicto.

Observación frente a control. Ver un agente no es lo mismo que detenerlo antes de que actúe. La pregunta decisiva para cada agente es si el punto de aplicación de las políticas está antes de la llamada a la herramienta o solo después. La autorización temporal en Strands Box de AWS la responde por acción; la arquitectura de Microsoft tiene que mostrar lo mismo para cada integración.

El paso práctico no depende de que nada de esto se lance: haga un inventario de cuáles de sus agentes tienen permisos permanentes hoy y, para cada uno, anote para qué tarea son esos permisos. Esa lista es el insumo que necesitará todo sistema dinámico.