El agente recibe su propia identidad
Microsoft ha publicado una arquitectura de seguridad que trata a los agentes de IA como personal interno y no como funciones. En una entrada de Nadim Abdo, vicepresidente corporativo de identidad y acceso a la red, la compañía describe un agente que empieza sin autoridad propia, recibe permisos acotados a una sola tarea durante el tiempo de esa tarea y es puntuado continuamente por riesgo mientras se ejecuta.
La capa de identidad es Microsoft Entra Agent ID, ampliada con tipos de identidad para más patrones de agente, incluidos los agentes locales y los previamente desconocidos que detectan los sensores de seguridad. Cada agente obtiene una identidad separada de la persona que lo patrocina. Esa separación es la condición previa de todo lo demás: no se puede revocar el acceso de un agente con independencia del de su usuario si el agente no tiene acceso propio.
Permisos que caducan con la tarea
Dynamic Permissions es el mecanismo. La política de toda la organización fija el límite exterior; dentro de él, el agente recibe permisos acotados a la tarea y limitados en el tiempo, y las acciones de mayor impacto pueden exigir aprobación humana verificada. El modelo se ejecuta dentro de un Microsoft Execution Container, un entorno aislado que mantiene el modelo y su andamiaje bajo acceso controlado por política, con la aplicación situada fuera del alcance del agente.
Dynamic Agent Risk es la parte de puntuación. Microsoft dice que se nutre de señales de identidad, datos, dispositivo, nube, red, ejecución y actividad del agente, y enumera Sentinel, Entra, Intune, Purview, Global Secure Access y Defender como entradas. La entrada añade que la puntuación incluye señales a nivel de modelo, como evidencia de la cadena de razonamiento: el propio razonamiento del agente usado como entrada de seguridad.
Dynamic Conditional Access convierte la puntuación en acción, y las respuestas son graduales y no binarias: reducir permisos, bloquear escrituras manteniendo lecturas, estrechar los recursos en alcance, acortar la ventana de acceso, exigir aprobación humana, aislar el entorno de ejecución o detener la ejecución.
Sesenta tipos de agente, incluida la competencia
Microsoft dice que la detección de agentes cubre ahora 35 tipos locales adicionales hasta un total de 60, y nombra entre ellos a Claude Code de Anthropic, Codex de OpenAI y GitHub Copilot. Es un producto de seguridad que inventaría los agentes de proveedores rivales en los equipos de los empleados, que es la forma práctica del problema: los agentes que una empresa debe gobernar no son sólo los que compró a Microsoft.
Encima se sitúan dos piezas nuevas. Los Guardian Agents son agentes de seguridad que se ejecutan de forma continua, investigan por qué cambió el riesgo de otro agente y recomiendan o aplican contención. Los Playbooks definen el resultado de seguridad y coordinan lo que hacen esos agentes. Microsoft dice que las personas conservan el control de los objetivos y de las decisiones de peso.
Lo que la entrada no dice
La entrada no da fechas de disponibilidad, ni calendario de disponibilidad general, ni nivel de licencia. La única fecha que contiene es Microsoft Ignite, del 17 al 20 de noviembre. GeekWire informó de que las funciones forman parte de Microsoft 365 E7, el paquete de gama alta de la compañía, y de que la detección de agentes pasó de 25 tipos a 60; ni el nivel E7 ni la cifra 25 aparecen en el texto de Microsoft, que sólo habla de “35 adicionales” hasta un total de 60.
La entrada cita a Satya Nadella: “El sistema agéntico más fiable no será el que tenga el modelo en el que más confiamos”. Terrell Cox, director adjunto de seguridad de la información para seguridad de clientes, dice: “Los agentes sólo se adoptarán a escala si se puede confiar en ellos a escala”.
Ignite es el momento a vigilar. Una arquitectura de seguridad sin fechas de entrega es una postura, no un producto.
