Sesión 04: Cuando los Agentes Acceden a lo que No Deberían

Agent Zero · Sesión 04: Protegiendo los Datos — Cuando los Agentes Acceden a lo que No Deberían

Descripción:
El prompt injection no necesita exfiltrar datos directamente. Solo necesita que el agente lo haga. Y hay una fuga que ni siquiera necesita prompt injection.
Los conectores externos de agentes usan HTTPS legítimo. Sin DLP en el canal de respuesta del agente, no solo en el prompt, la exfiltración es invisible a todos los controles de red estándar. Y el orden importa: los sensitivity labels deben aplicarse a SharePoint antes de activar el retrieval del agente. Al revés es una exposición en vivo desde el primer prompt.
Además veremos el vector que OWASP incorporó a su Top 10 de 2026 y que no es un fallo de instrucciones sino de geometría: en un índice de vectores compartido, la búsqueda por similitud se ejecuta sobre el índice completo antes de aplicar los filtros de acceso. Un documento perfectamente benigno de un tenant puede aparecer como resultado relevante en la consulta de otro.
Lo que cubre esta sesión:
– Exfiltración de datos vía agentes: 4 vectores reales
– Purview DLP para interacciones de IA (workload AIInteractions)
– Cross-tenant vector search leakage: security trimming en Azure AI Search, ACL por documento e índices separados por tenant (OWASP LLM09:2026)
– Demo en vivo: DLP policy + sensitivity labels + KQL de detección de exfiltración
– Corpus poisoning, memory poisoning y context gap: cuando el agente actúa sobre datos incorrectos a velocidad de máquina
– Membership inference: violación de privacidad sin exfiltración visible
– Secuencia correcta de remediación de oversharing