Microsoft AGT: El Fin de la Prompt Safety en Agentes AI
26.67% de tasa de violación con instrucciones. 0.00% con enforcement determinístico. Los números ya no admiten debate.
Por AI SOCIETY
Microsoft AGT: El Fin de la Prompt Safety en Agentes AI
La seguridad basada en instrucciones falla el 26.67% de las veces en red-team sistemático. El enforcement determinístico a nivel aplicación: 0.00%. Esos dos números son la conversación más importante que deberías estar teniendo si estás desplegando agentes AI en producción.
Microsoft acaba de liberar el Agent Governance Toolkit (AGT) — open source, disponible en github.com/microsoft/agent-governance-toolkit — y con él, un conjunto de evidencia que hace indefendible seguir apostando a la gobernanza de agentes AI mediante prompts del sistema. 13,000+ tests. Cobertura de los 10 riesgos del OWASP Agentic Top 10. Latencia de evaluación de política en 0.012ms p50. No es un paper académico. Es infraestructura lista para producción con benchmarks publicados.
Si tu stack de agentes AI en banca, salud, retail o govtech depende de instrucciones como "sigue siempre las políticas de la empresa" para mantenerse dentro de límites, este artículo es para ti. La conclusión no tiene matices: la prompt-based safety es teatro. El enforcement tiene que vivir a nivel aplicación.
Por qué la gobernanza de agentes AI no puede ser solo un prompt
Los agentes AI no son chatbots con memoria larga. Son sistemas que toman decisiones encadenadas, invocan herramientas externas, acceden a datos sensibles y actúan en nombre de usuarios y organizaciones — frecuentemente sin supervisión humana en tiempo real.
En ese contexto, pedirle a un LLM que "recuerde seguir las reglas" mediante instrucciones en el system prompt tiene un problema estructural: el modelo puede olvidarlas, reinterpretarlas, o ser manipulado para ignorarlas. No porque el modelo sea malicioso — sino porque los transformers no tienen noción de "regla inviolable". Tienen distribuciones de probabilidad sobre tokens.
El problema del 26.67%
El AGT publicó sus benchmarks de red-team con transparencia total. Cuando los mismos escenarios de ataque — prompt injection, tool poisoning, privilege escalation, entre otros — se ejecutaron contra agentes protegidos solo por safety instructions, la tasa de violación fue 26.67%. Cuando se ejecutaron contra agentes con el enforcement determinístico del AGT activado a nivel aplicación: 0.00%.
Una de cada cuatro interacciones hostiles supera la capa de instrucciones. En producción con carga real, eso no es un edge case — es una certeza estadística.
"Los sistemas de agentes autónomos introducen superficies de ataque que no existían en los modelos conversacionales tradicionales. La identidad del agente, el alcance de sus herramientas y la integridad del log de decisiones deben ser propiedades garantizadas por la arquitectura, no por las instrucciones del prompt."
— OWASP Agentic AI Top 10, v1.0 (2025)
Qué es Microsoft AGT y qué resuelve exactamente
El Agent Governance Toolkit no es un wrapper de seguridad. Es una arquitectura de seis capas que convierte los 10 riesgos del OWASP Agentic Top 10 en propiedades determinísticas del sistema. Cada capa tiene una función no redundante con las demás.
1. Policy Engine
Evaluación de políticas en YAML, OPA/Rego y Cedar. Latencia p50 de 0.012ms — indetectable para el usuario final. Las políticas son código versionado, no instrucciones en texto libre. Esto significa que se auditan, se revisan en PR, y se despliegan con el mismo proceso que el resto de la infraestructura.
2. Zero-Trust Identity
Cada agente firma sus acciones con Ed25519. Para entornos donde la resistencia cuántica es un requisito regulatorio (banca de largo plazo, infraestructura crítica), AGT soporta ML-DSA-65 — el estándar post-cuántico del NIST. Sin identidad criptográfica por agente, no hay cadena de responsabilidad auditable. Con ella, cada decisión del agente es atribuible e inmutable.
3. Execution Sandboxing
Cuatro anillos de privilegio. Un agente que procesa datos de clientes no tiene por qué tener acceso a credenciales de infraestructura. Un agente de análisis interno no debería poder invocar APIs externas. El sandboxing hace cumplir el principio de menor privilegio sin depender de que el modelo "recuerde" sus límites.
4. Agent SRE
SLOs y circuit breakers para agentes. Si un agente empieza a generar acciones a una tasa anormal, a fallar en sus herramientas de manera consecutiva, o a consumir recursos fuera de parámetros definidos, el sistema lo degrada o detiene — igual que un servicio de producción tradicional. Los agentes AI son servicios. Necesitan SRE.
5. Audit con Merkle-chained logs
El log de cada decisión está encadenado criptográficamente — cualquier modificación posterior es detectable. Para regulaciones como PCI-DSS, SOC 2, o el marco de gobernanza AI de la CNBV en México, esto convierte el audit trail de "podríamos reconstruir qué pasó" a "podemos probar matemáticamente qué pasó".
6. MCP Security Gateway
El protocolo MCP (Model Context Protocol) es el mecanismo estándar emergente para que los agentes invoquen herramientas externas. El AGT incluye un gateway que previene tool poisoning — uno de los vectores de ataque más activos en sistemas multiagente — antes de que llegue al runtime del modelo.
Lo que esto significa para agentes AI en LatAm: banca, salud y govtech
No es una conversación futura. Hay equipos en México, Colombia, Brasil y Argentina desplegando agentes AI en producción hoy — para automatización de procesos en banca, triaje en salud, y atención ciudadana en gobierno. La mayoría sin una capa de gobernanza equivalente a lo que AGT describe.
Caso: banco retail en México
Un banco retail mexicano Tier-2 con el que trabajamos comenzó su piloto de agentes AI para servicio al cliente con un sistema basado en instrucciones largas en el system prompt — 3,000+ tokens de políticas y restricciones. En pruebas internas de adversarial prompting, el sistema cedió ante 19 de 72 casos de prueba diseñados para extraer información fuera de política.
Eso es una tasa de violación del 26.4% — casi exactamente lo que el benchmark del AGT reporta para prompt-based safety en general.
El rediseño de arquitectura incorporó una Policy Engine con reglas en Rego, sandboxing por tipo de consulta, y audit trail completo. Los mismos 72 casos: 0 violaciones. El time-to-compliance para auditoría interna bajó de semanas a horas, porque el log es inmutable y exportable.
La señal regulatoria ya está en el mercado
El Banco de México y la CNBV han publicado lineamientos provisionales sobre uso de IA en servicios financieros que exigen, en términos generales, explicabilidad, trazabilidad y control de riesgos operativos. La Ley General de Protección de Datos en México refuerza la necesidad de accountability en sistemas automatizados de decisión.
Ninguno de esos requisitos se cumple con un prompt. Todos se cumplen con la arquitectura que AGT describe.
Gobernanza de agentes AI en producción: el estándar mínimo que hoy existe
El lanzamiento de AGT tiene una consecuencia directa en cómo se evalúan los stacks de agentes AI para producción: ya no hay excusa arquitectónica para no tener enforcement determinístico. El toolkit es open source, soporta Python, TypeScript, .NET, Rust y Go, y es compatible con 20+ frameworks incluyendo LangChain, CrewAI, AutoGen y AWS Bedrock.
Bilgin Ibryam — autor de Kubernetes Patterns (O'Reilly), uno de los ingenieros con mayor credibilidad en arquitecturas distribuidas — amplificó el lanzamiento con señal real: 10,800 vistas, 188 likes, 43 retweets en la primera semana. En el ecosistema de plataformas, eso es validación de arquitectos que saben distinguir infraestructura de marketing.
La pregunta que deberías hacerte sobre cualquier sistema de agentes AI en tu stack hoy:
- ¿Las políticas de comportamiento están en código versionado o en texto de instrucciones?
- ¿Cada agente tiene una identidad criptográfica y un log inmutable de sus acciones?
- ¿El privilegio de cada agente está limitado a nivel de runtime por la arquitectura, no por el prompt?
- ¿Tienes circuit breakers que detecten comportamiento anómalo en tiempo real?
Si la respuesta a cualquiera de esas cuatro preguntas es "no" o "depende de las instrucciones", el riesgo operativo y regulatorio es cuantificable — y AGT acaba de publicar el número: 26.67%.
ARCA y el principio que AGT confirma
En AI SOCIETY llevamos tiempo operando bajo este principio. ARCA — nuestro sistema operativo agéntico, el primero certificado ISO 42001 en LatAm — tiene enforcement a nivel aplicación como propiedad de arquitectura, no como capa opcional. Audit trail auditable. Políticas en código. Identity por agente. Local-First por diseño.
AGT es una confirmación externa, publicada por Microsoft, con 13,000+ tests, de que el estándar mínimo para agentes AI en producción es exactamente lo que construimos. No lo decimos como diferenciación de marketing — lo decimos porque los benchmarks ahora son públicos y comparables.
La prompt-based safety no es un punto de partida razonable para entornos regulados. Es un riesgo documentado con tasa de falla medida.
Takeaway: lo que debes hacer antes de tu próximo despliegue de agentes
No hay una versión "lite" de gobernanza de agentes AI para producción. Hay gobernanza o hay riesgo no cuantificado.
Antes de desplegar — o antes de seguir operando — cualquier agente AI en un entorno regulado o de alta consecuencia, evalúa AGT como referencia de arquitectura mínima. No necesitas implementarlo todo desde el día uno, pero sí necesitas un plan explícito para cada una de sus seis capas.
Lo que no es aceptable: asumir que el modelo seguirá las instrucciones el 100% del tiempo. Los datos dicen que no lo hará.
¿Estás en proceso de desplegar agentes AI en tu organización y no tienes claro si tu stack cumple el estándar mínimo de gobernanza? En AI SOCIETY hacemos exactamente esa evaluación — y si hay gaps, sabemos cómo cerrarlos con ARCA o con una arquitectura personalizada.
Habla con nuestro equipo de consultoría — sin presión de venta, con diagnóstico técnico real.
Fuentes: Microsoft Agent Governance Toolkit (github.com/microsoft/agent-governance-toolkit), OWASP Agentic AI Top 10 v1.0, señal de comunidad vía Bilgin Ibryam (@bibryam).