Microsoft advierte que los agentes de IA son los nuevos insiders y exige controles a velocidad de máquina

El 19 de octubre de 2026 Microsoft publicó en su Security Blog el artículo “Agents are your newest insiders. Security must move at their speed.”, firmado por Nadim Abdo, Corporate Vice President de Identity and Network Access. El texto sostiene que los agentes de inteligencia artificial se han convertido en los nuevos insiders de las organizaciones porque reciben acceso a datos, aplicaciones, herramientas y a otros agentes para realizar tareas de codificación, análisis, procesamiento de gastos o interacción con sistemas.

Microsoft parte de un supuesto claro: los agentes no son maliciosos por naturaleza, pero pueden equivocarse, ser manipulados o quedar comprometidos. Su salida es variable, se adaptan al contexto y pueden modificar el plan mientras ejecutan una tarea. Operan a velocidad de máquina y de forma continua, por lo que los controles de seguridad tradicionales, pensados para humanos, no bastan. La compañía cita a Satya Nadella: el sistema agentic más fiable no será el que confíe más en el modelo, sino el que permita confiar menos en él, porque los controles deben residir fuera del modelo.

El enfoque se articula en Project Perception, que extiende la idea de Guardian Agents para operaciones de seguridad continuas a velocidad de máquina. La propuesta se resume en cuatro responsabilidades interdependientes: conocer (qué agentes existen, quién es responsable y qué hacen), contener (acceso y acciones antes de que se ejecuten), proteger (datos, herramientas, runtime y recursos) y adaptar (la protección según cambia el comportamiento y el riesgo). Los sensores, el contexto y los actuadores del stack de ciberseguridad permiten observar y responder.

En la práctica, Microsoft amplía el descubrimiento a 35 tipos adicionales de agentes locales, hasta un total de 60, incluyendo Claude Code, OpenAI Codex y GitHub Copilot. Cada agente recibe una identidad distinta mediante Microsoft Entra Agent ID, incluso si es local o desconocido, para atribuir acciones, aplicar ciclo de vida y separar las acciones humanas de las de los agentes. El runtime se contiene en entornos controlados como Microsoft Execution Container (MXC). El espacio de acciones se restringe: se median las llamadas a herramientas, APIs y servidores MCP, y se aplica mínimo privilegio. Los agentes no heredan los permisos del usuario; empiezan sin autoridad y reciben permisos específicos de la tarea, limitados en tiempo, con aprobación humana para acciones de alto impacto.

El riesgo se evalúa de forma dinámica (Dynamic Agent Risk) agregando señales de identidad, datos, endpoints, cloud, red, runtime y actividad. Conditional Access se extiende a los agentes con respuestas graduadas: reducir permisos, bloquear escrituras manteniendo lecturas, estrechar recursos, exigir aprobación humana, aislar o detener el agente. Para escalar a cientos de miles de agentes, se proponen Playbooks que definen objetivos y Guardian Agents que ejecutan la supervisión continua. Se pide también mayor transparencia del modelo (señales de cadena de pensamiento) para detectar deriva de intención, pero sin sustituir la contención externa.

Para un responsable TIC de un centro educativo, una red concertada o cualquier organización que ya despliega o prueba agentes en Microsoft 365, Azure o entornos locales, el artículo es directamente aplicable. Los agentes con acceso a correo, SharePoint, calendarios o APIs internas ya existen en muchos entornos. Tratarlos como insiders implica inventariarlos, asignarles identidad propia y no darles por defecto los permisos del usuario que los invoca.

Las acciones concretas son claras. Primero, descubrir y registrar todos los agentes que operan (Copilot, agentes de terceros, scripts con modelos). Segundo, aplicar mínimo privilegio real: permisos de tarea, no de usuario, y revisión de lo que pueden escribir o invocar. Tercero, definir respuestas graduadas ante comportamientos anómalos (bloqueos parciales, aprobación humana, aislamiento) en lugar de un simple todo o nada. Cuarto, incorporar en el plan de respuesta a incidentes el escenario de agente fuera de alcance o comprometido.

El mensaje de Microsoft es que no hay que elegir entre innovación y seguridad. La seguridad debe moverse a la misma velocidad que los agentes. Para quien gestiona tecnología, esto se traduce en elevar la exigencia de identidad, contención y observabilidad antes de escalar el uso de agentes, no después.