Microsoft Defender for Endpoint Plan 2 descubre más de cincuenta agentes de IA locales en Windows (disponibilidad general) y macOS (preview) observando su actividad en tiempo real. El inventario muestra el agente, el dispositivo, la cuenta de usuario y los servidores MCP configurados, tanto remotos como locales, sin necesidad de despliegue adicional. Esta visibilidad cubre shadow AI que otros controles no detectan, según el anuncio del Microsoft Security Blog del 5 de noviembre de 2026.
Descubrimiento de agentes locales y MCP: visibilidad real
La detección se basa en la observación de actividad ejecutada; un agente instalado pero inactivo no aparece hasta que genera telemetría. La matriz de soporte oficial, actualizada el 3 de noviembre de 2026, lista más de setenta agentes por proveedor —OpenAI, Anthropic, Google, GitHub, Amazon, Microsoft, Ollama, Cursor, Windsurf y otros— indicando qué combinaciones descubren agente y MCP en Windows, WSL (preview) y macOS (preview) AI agent support matrix.
Cada servidor MCP configurado representa una extensión de privilegios del usuario hacia recursos como GitHub, Kubernetes, bases de datos o sistemas de archivos. Defender expone el endpoint, el tipo de transporte y el comando de inicio de los MCP locales (campo localMcps), permitiendo a los equipos de seguridad mapear la superficie de ataque real de cada agente en la organización.
El descubrimiento requiere licencia Microsoft Defender for Endpoint Plan 2 (incluida en M365 E5/E7), nube comercial, dispositivos onboarded y Defender Antivirus en modo activo con actualizaciones de plataforma y motor al día. En macOS la funcionalidad permanece en preview, por lo que no debe usarse aún para cumplimiento normativo. La matriz distingue claramente escenarios GA de preview por sistema operativo y agente.
Matriz de soporte y requisitos de licenciamiento
Para acceder al nivel de riesgo, indicadores y recomendaciones automáticas es necesario Microsoft 365 E7 o Microsoft Agent 365 junto con Defender Plan 2. Con solo E5 se obtiene inventario y hunting avanzado, pero sin postura de riesgo integrada. Las organizaciones deben evaluar si el upgrade compensa o si construyen lógica propia sobre AgentsInfo y el grafo de exposición Discover local AI agents.
Los prerrequisitos técnicos exigen Windows 10/11 24H2 o posterior, o macOS 14+, con actualizaciones mensuales actuales. La nube soberana o nacional no está soportada. Estas condiciones limitan el despliegue inmediato en entornos regulados o con ciclos de actualización lentos, y obligan a planificar la cadencia de parcheo como parte de la gobernanza de agentes.
Hunting avanzado con KQL: inventario y blast radius
Defender expone tres tablas de advanced hunting: AgentsInfo (perfil del agente: proveedor, versión, proceso host, trustedProcess, autoApprove, servidores MCP, localMcps), ExposureGraphNodes y ExposureGraphEdges (grafo de exposición: dispositivo, identidad, recursos alcanzables, criticidad). Estas tablas permiten consultas de inventario, servidores MCP y herramientas, agentes con autoApprove o proceso no confiado, y ranking de usuarios por radio de acción.
Una consulta basal semanal recomendada filtra AgentsInfo donde AutoApprove es true o TrustedProcess es false, y hace join con ExposureGraphNodes para aislar dispositivos con criticalityLevel 0-1. Esto identifica agentes que actúan sin confirmación humana o en procesos no verificados sobre identidades críticas, cuantificando el blast radius real de cada cuenta comprometida.
Los resultados alimentan gates de CI/CD de postura: bloquear despliegues si aparece un agente con autoApprove en dispositivo crítico, o un MCP hacia producción sin revisión. La integración con workspaces de Log Analytics y Defender XDR habilita alertas automatizadas y flujos de respuesta, convirtiendo el hunting en control preventivo continuo.
Microsoft Execution Containers: contención impuesta por el SO
Microsoft Execution Containers (MXC) ya está en disponibilidad general como capa de contención impuesta por el sistema operativo para agentes IA locales en Windows. Aplica controles de menor privilegio sobre archivos, red, procesos e interacciones de usuario, moviendo la frontera de confianza al kernel. El agente no puede saltarse la política aunque sea comprometido por inyección de prompt, cadena de suministro o modelo malicioso.
Las políticas son ajustables y validables en modo auditoría antes de enforcement amplio, reduciendo falsos positivos operativos. La integración futura con Intune, Entra y Microsoft Agent 365 extenderá gobernanza y atribución empresarial, pero hoy no está disponible. MXC solo cubre Windows; no hay documentación para contenedores Linux nativos ni WSL, cuyo descubrimiento permanece en preview.
Esta contención real —no promesa del agente— complementa Dynamic Permissions (permisos acotados a la tarea con reevaluación continua), Dynamic Agent Risk (evaluación de riesgo dinámica) y Dynamic Conditional Access (respuesta proporcional: reducir permisos, bloquear recursos, exigir aprobación humana). Juntas forman un modelo de defensa en profundidad donde el SO garantiza los límites.
Recomendaciones operativas con condiciones y límites
Active el descubrimiento ya si cumple prerrequisitos: Plan 2, onboarding, AV activo, nube comercial, Windows 24H2+ o macOS 14+. Recuerde que solo ve agentes con actividad observada; instalación sola no basta. Ejecute hunting basal semanal con las consultas KQL documentadas y valide hallazgos contra el grafo de exposición para priorizar remediación.
Pilotee MXC en anillo controlado: defina política de archivos/red/procesos, inicie en modo auditoría, valide falsos positivos y pase a bloqueo. Limite el piloto a Windows; macOS y WSL no tienen contención MXC documentada. Clasifique y gobierne servidores MCP usando la query de inventario, etiquetando los que tocan producción o datos regulados; visibilidad completa solo si el agente reporta MCP según matriz.
Revise licenciamiento: con E5 verá inventario y hunting, sin nivel de riesgo ni recomendaciones automáticas. Evalúe upgrade a E7/Agent 365 o construya lógica propia. Incluya macOS en roadmap (preview) midiendo cobertura, pero no bloquee compliance en ello. Documente y pruebe respuesta a alertas de inyección de prompt sospechosa (preview en Windows, agentes con hooks nativos).
Ficha estructurada para consulta y agentes de IA
{
"format": "rafael-fuentes-article/1.0",
"language": "es",
"title": "Microsoft Defender descubre agentes IA locales y MXC los contiene en Windows",
"summary": "Defender for Endpoint Plan 2 inventaria 50+ agentes locales con sus MCP en Windows (GA) y macOS (preview); MXC añade contención a nivel de kernel.",
"author": "Rafael Fuentes",
"publicationDate": "2026-11-06T20:01:35.116+01:00",
"eventDate": "2026-11-05",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-06-pm-es/",
"translation": {
"language": "en",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-06-pm-en/"
},
"topics": [
"Compliance y Normativas",
"Español",
"IA",
"Inteligencia artificial",
"OpenAI"
],
"sources": [
"https://www.microsoft.com/en-us/security/blog/2026/11/05/whats-new-in-microsoft-security-november-2026",
"https://learn.microsoft.com/en-us/defender-endpoint/ai-agent-support-matrix",
"https://learn.microsoft.com/en-us/defender-endpoint/discover-local-ai-agents"
]
}