Microsoft User Group Perú

Agent Zero · Sesión 01: El Panorama de los Agentes — ¿Qué está corriendo en tu tenant?

Descripción:
Los agentes de IA ya operan en tu organización. La mayoría sin que nadie los haya aprobado, inventariado ni clasificado.
En junio de 2026 ejecuté una query en un tenant real de producción. Retornó 5 agentes activos con 951 días de promedio sin dueño técnico, sin Entra Agent ID, sin política de DLP. Nadie sabía que existían.
Esta sesión es el punto de partida de Agent Zero: una serie técnica gratuita de 6 semanas sobre seguridad agentic en entornos Microsoft. Empezamos por lo más urgente — ver qué está corriendo antes de intentar gobernarlo.
Lo que cubre esta sesión:
– De Copilot a flota de agentes: qué cambió y por qué importa para seguridad
– Shadow AI: agentes creados fuera del control de TI
– Demo en vivo: Agent 365 + KQL sobre AgentsInfo — encontrar lo que nadie sabe que existe
– Cómo construir tu inventario de agentes desde cero

Agent Zero · Sesión 02: Gobernando la Flota — Identidad, Ownership y Ciclo de Vida

Descripción:
Un agente sin dueño técnico es un incidente de seguridad esperando ocurrir. Uno que nadie sabe apagar ya es el incidente.
Power Platform permite publicar agentes sin aprobación por defecto. Copilot Studio activa agentes inmediatamente si se usa Agent Builder. El resultado: flotas de agentes en producción sin propietario, sin política y sin fecha de retiro, lo que en un audit se llama identidad huérfana.
Esta sesión aborda cómo asignar identidad, propietario y controles de ciclo de vida a cada agente usando controles Microsoft nativos. Y cierra con la pregunta que casi ninguna organización tiene respondida: ¿cuánto tarda tu equipo en detener un agente comprometido, medido en un simulacro real y no en un documento?
Lo que cubre esta sesión:
– El gap de governance: agentes sin owner, sin ciclo de vida
– Entra Agent ID: tratar agentes como identidades, no como scripts
– Sponsor obligatorio y Lifecycle Workflows: por qué el ownership nunca debe quedar vacío cuando alguien deja la empresa
– Access packages: permisos con fecha de vencimiento en lugar de scopes OAuth permanentes
– Demo en vivo: Copilot Studio approval flow + Tiered Autonomy
– Kill switch de tres niveles: revocar sesión, deshabilitar identidad, parar runtime, con RTO medido. Y por qué un "detente" en el system prompt no es un kill switch
– KQL para detectar el Agent Builder bypass en AuditLogs

Agent Zero · Sesión 03: Zero Trust para Agentes — Acceso, Permisos y OAuth

Descripción:
Tus agentes heredan los permisos del usuario que los creó. Ese es tu blast radius.
Los agentes no pueden completar MFA interactivo. Las políticas de Conditional Access diseñadas para usuarios los bloquean o los excluyen — ambas opciones son incorrectas. Y el error más común: configurar `grantControls: mfa` para agentes. La política guarda sin error. No enforcea. Es silenciosamente inválido.
Esta sesión cubre cómo diseñar políticas de acceso específicas para identidades de agente usando controles Microsoft nativos.
Lo que cubre esta sesión:
– Least Agency: por qué least privilege no es suficiente para agentes
– Conditional Access para identidades de agente (clientApplications.includeAgentIdServicePrincipals)
– Demo en vivo: CA policy + What If tool + OAuth audit KQL
– El test "impossible vs. tedious" aplicado a controles de agentes
– KQL para detectar scope expansion y OAuth consent no revisado

Agent Zero · Sesión 04: Protegiendo los Datos — Cuando los Agentes Acceden a lo que No Deberían

Descripción:
El prompt injection no necesita exfiltrar datos directamente. Solo necesita que el agente lo haga. Y hay una fuga que ni siquiera necesita prompt injection.
Los conectores externos de agentes usan HTTPS legítimo. Sin DLP en el canal de respuesta del agente, no solo en el prompt, la exfiltración es invisible a todos los controles de red estándar. Y el orden importa: los sensitivity labels deben aplicarse a SharePoint antes de activar el retrieval del agente. Al revés es una exposición en vivo desde el primer prompt.
Además veremos el vector que OWASP incorporó a su Top 10 de 2026 y que no es un fallo de instrucciones sino de geometría: en un índice de vectores compartido, la búsqueda por similitud se ejecuta sobre el índice completo antes de aplicar los filtros de acceso. Un documento perfectamente benigno de un tenant puede aparecer como resultado relevante en la consulta de otro.
Lo que cubre esta sesión:
– Exfiltración de datos vía agentes: 4 vectores reales
– Purview DLP para interacciones de IA (workload AIInteractions)
– Cross-tenant vector search leakage: security trimming en Azure AI Search, ACL por documento e índices separados por tenant (OWASP LLM09:2026)
– Demo en vivo: DLP policy + sensitivity labels + KQL de detección de exfiltración
– Corpus poisoning, memory poisoning y context gap: cuando el agente actúa sobre datos incorrectos a velocidad de máquina
– Membership inference: violación de privacidad sin exfiltración visible
– Secuencia correcta de remediación de oversharing