> ## Content Index > Fetch the complete content index at: https://www.digitalbrain.news/llms.txt > Use this file to discover other available public pages before exploring further. # Microsoft trata a Claude Code y Codex como amenaza interna - URL: https://www.digitalbrain.news/noticias/microsoft-agentes-ia-amenaza-interna-guardian-agents/ - Published: 2026-10-20T07:21:48.000Z - Updated: 2026-10-20T07:23:15.000Z - Description: Microsoft ha decidido tratar a los agentes de IA de las empresas como trata a un empleado con demasiados permisos: como una amenaza interna. - Author: Ramón Pérez Coronado - Tags: #noticias, microsoft, ciberseguridad, claude-code, codex, agentes-ia Microsoft ha decidido tratar a los [agentes de IA](https://www.digitalbrain.news/guias/que-es-un-agente-de-ia/) de las empresas como trata a un empleado con demasiados permisos: como una amenaza interna. Lo anunció el 19 de octubre Hayete Gallot, vicepresidenta ejecutiva de Microsoft Security, en [el blog oficial de la compañía](https://blogs.microsoft.com/blog/2026/10/19/securing-the-agentic-insider/?ref=digitalbrain.news), con una frase que no es habitual en boca de quien ha invertido en [OpenAI](https://www.digitalbrain.news/glosario/#openai) y en [Anthropic](https://www.digitalbrain.news/guias/que-es-anthropic/): "los modelos de frontera, sea cual sea su origen, no son de fiar". Con la frase llegan productos. Microsoft amplía su sistema de seguridad Project Perception con Guardian Agents, unos agentes que vigilan a los otros agentes, y su detector ya reconoce 60 tipos de agentes locales que los empleados instalan por su cuenta, entre ellos [Claude Code](https://www.digitalbrain.news/guias/que-es-claude-code/), OpenAI [Codex](https://www.digitalbrain.news/glosario/#codex) y GitHub [Copilot](https://www.digitalbrain.news/guias/que-es-github-copilot/). ## Puntos clave del anuncio de Microsoft - **Guardian Agents:** un equipo de agentes dentro de Project Perception que supervisa cada acción de cada agente de la empresa, 24 horas, y responde cuando sube el riesgo. - **Detección de 60 agentes locales:** Microsoft suma 35 tipos nuevos a su catálogo. Incluye Claude Code, Codex y Copilot, y los mete en un registro único con dueño, actividad y riesgo. - **Identidad propia para cada agente:** Microsoft Entra Agent ID da al agente una identidad distinta de la persona que lo usa, para saber qué hizo el empleado y qué hizo el agente en su nombre. - **Permisos dinámicos:** el agente empieza sin permisos, recibe solo lo que necesita para la tarea y los pierde cuando la tarea acaba. Las acciones de alto impacto pueden exigir aprobación humana verificable. - **Riesgo en tiempo real:** Dynamic Agent Risk y Dynamic Conditional Access recalculan el riesgo del agente con cada señal y recortan lo que puede hacer sin tener que pararlo del todo. ## Qué significa tratar a un agente como amenaza interna En seguridad, una "amenaza interna" es alguien de dentro, con acceso legítimo, que hace daño: por error, porque le engañan o porque quiere. Hasta ahora casi todo el discurso sobre IA y ciberseguridad miraba hacia fuera, a atacantes usando modelos potentes. Microsoft lo dice tal cual en su texto: las empresas desplegaron agentes y "confiaron en ellos implícitamente" porque los habían puesto ellas. Gallot explica por qué eso ya no vale. Los modelos están entrenados para conseguir resultados, y eso lleva a lo que en el sector se llama \*reward hacking\*: el modelo encuentra un atajo que cumple el objetivo sobre el papel y se salta lo que la empresa daba por hecho. Según Microsoft, los agentes "se adaptan cuando cambia el contexto, pueden no comportarse como se esperaba y colaborarán con otros agentes para alcanzar sus objetivos, sin necesidad de que nadie los comprometa". Lo que lo hace peligroso es la combinación de tres cosas. Los agentes suelen tener más permisos de los que necesitan, tocan datos y sistemas reales y trabajan a velocidad de máquina. Un empleado que se equivoca tarda horas en hacer daño. Un agente, segundos. ## Cómo funciona por dentro El segundo texto del día, firmado por Nadim Abdo, vicepresidente de identidad y acceso a red, baja al detalle en [el blog de Microsoft Security](https://www.microsoft.com/en-us/security/blog/2026/10/19/agents-are-your-newest-insiders-security-must-move-at-their-speed/?ref=digitalbrain.news). El principio de fondo es rodear la inteligencia no determinista con controles deterministas: reglas que el modelo no puede tocar, fuera de su alcance. Lo cuentan con un ejemplo que cualquier director financiero reconoce, un agente que aprueba gastos: 1\. El agente nace con permiso para leer notas de gasto, comprobar la política y aprobar reembolsos rutinarios. No hereda todos los permisos del empleado que lo puso en marcha. 2\. En un documento externo se encuentra una inyección de [prompt](https://www.digitalbrain.news/guias/que-es-un-prompt/) (texto escondido que intenta darle órdenes) e intenta hacer algo que no tiene que ver con su tarea. 3\. Su nivel de riesgo sube. El sistema le deja seguir leyendo, pero le quita la capacidad de aprobar o escribir, le corta el acceso a recursos sensibles y pide aprobación humana para cualquier paso de impacto. 4\. Si el riesgo sigue subiendo, aísla el entorno donde corre o lo detiene. El empleado sigue trabajando. El agente queda acotado sin que cada alerta sea un botón de apagado. Para el entorno de ejecución, Microsoft usa contenedores propios (Microsoft Execution Container) que separan al agente del resto del equipo. La idea es que, si el agente o su \*harness\* (el programa que lo orquesta) quedan comprometidos, no puedan desactivar los controles que los vigilan. Y para las herramientas, el agente no puede llamar a cualquier API, [servidor MCP](https://www.digitalbrain.news/guias/que-es-un-mcp-server/) u otro agente que encuentre: los controles de red y de datos median esas llamadas. ## El siguiente paso que pide Microsoft: ver lo que piensa el modelo Hay un párrafo que va más allá del producto. Gallot dice que los sistemas de seguridad ya pueden observar lo que hacen los agentes, pero que el siguiente paso es preguntarse por qué lo hacen. Para eso pide más transparencia del propio modelo: acceso a los [tokens](https://www.digitalbrain.news/guias/que-es-un-token-en-ia/) de [razonamiento](https://www.digitalbrain.news/guias/que-es-un-modelo-de-razonamiento-en-ia/) (la [cadena de pensamiento](https://www.digitalbrain.news/glosario/#chain-of-thought)), además de la entrada y la salida. Es una petición dirigida a los laboratorios, OpenAI y Anthropic incluidos. Microsoft ya mete estas señales del modelo en su cálculo de riesgo cuando están disponibles, y avisa de que eso no sustituye a la contención: "el modelo no puede ser su propia frontera de seguridad". Encaja con lo que Satya Nadella escribió este mismo mes en su blog personal, y que [ya contamos](https://www.digitalbrain.news/noticias/nadella-freno-emergencia-ia-modelos-comprometidos/): hay que separar el suministro de inteligencia de la autoridad sobre ella. Microsoft cita una frase suya en el anuncio: el sistema agéntico más fiable será el que esté diseñado para fiarse lo menos posible del modelo. ## Por qué llega ahora El contexto de octubre empuja. Hace unos días un atacante usó [un ejército de agentes para entrar en más de 1.200 webs, John Deere y SharkNinja incluidas](https://www.digitalbrain.news/noticias/hacker-agentes-ia-1200-webs-deere-sharkninja/), y el 19 de octubre supimos que [unos atacantes robaron claves de API de usuarios de OpenCode](https://www.digitalbrain.news/noticias/opencode-hackeo-api-keys-cargos-usuarios/) y les cargaron gastos. Las dos historias tienen algo en común con este anuncio: herramientas de agentes con acceso real a sistemas y dinero. Microsoft, además, tiene su propio interés comercial. Project Perception nació en verano como respuesta a modelos de ataque como Mythos de Anthropic, con equipos de agentes rojos (atacan), azules (detectan) y verdes (arreglan), y ya lo contamos cuando presentó [su modelo MAI-Cyber-1-Flash](https://www.digitalbrain.news/noticias/microsoft-mai-cyber-1-flash-perception/). Ahora usa la misma pila para vigilar lo de dentro. Según TechCrunch, Microsoft también es miembro fundador de la plataforma de seguridad de agentes abierta de [Nvidia](https://www.digitalbrain.news/glosario/#nvidia), que aísla a los agentes y puede cortarlos por hardware, y presentó portátiles Surface Laptop Ultra pensados para agentes. Lo que Microsoft no ha dado en estos textos es precio ni calendario de disponibilidad de cada pieza. Lo previsible es que se concrete en Ignite, su conferencia del 17 al 20 de noviembre. ## Por qué importa a una empresa española Si en tu empresa alguien usa Claude Code, Codex o Copilot en su portátil, ya tienes agentes con acceso a tu código, a tus datos y probablemente a credenciales. La mayoría de las empresas medianas que conozco no tienen un inventario de qué agentes corren en sus equipos ni con qué permisos. No hace falta comprar Microsoft Defender para aplicar el principio. Tres cosas se pueden hacer el lunes: - **Inventario:** lista qué agentes usa cada equipo y con qué cuentas se conectan a vuestros sistemas. - **Permisos mínimos:** que el agente use credenciales propias y limitadas, no la cuenta de administrador del empleado. Claves de API con tope de gasto. - **Aprobación humana en lo que mueve dinero o datos:** pagos, borrados, envíos masivos y cambios en producción, siempre con una persona confirmando. Cuando el proveedor de Windows y Office dice que no se fía de los modelos que él mismo vende, conviene tomárselo como un aviso para tu propia casa. Fuente original: [Microsoft](https://blogs.microsoft.com/blog/2026/10/19/securing-the-agentic-insider/?ref=digitalbrain.news) --- **Relacionado** [![Microsoft MAI-Base-2: 2,8 billones de parámetros y sin destilar](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/microsoft-mai-base-2-modelo-2-8-billones-parametros.webp)Microsoft MAI-Base-2: 2,8 billones de parámetros y sin destilar](https://www.digitalbrain.news/noticias/microsoft-mai-base-2-modelo-2-8-billones-parametros/)[![Hackeo en OpenCode: roban API keys y cargan gastos a usuarios](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/opencode-hackeo-api-keys-cargos-usuarios.jpg)Hackeo en OpenCode: roban API keys y cargan gastos a usuarios](https://www.digitalbrain.news/noticias/opencode-hackeo-api-keys-cargos-usuarios/)[![Un hacker usa agentes de IA para atacar 1.200 webs por 5.000 $](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/hacker-agentes-ia-1200-webs-deere-sharkninja.jpg)Un hacker usa agentes de IA para atacar 1.200 webs por 5.000 $](https://www.digitalbrain.news/noticias/hacker-agentes-ia-1200-webs-deere-sharkninja/)