Bitdefender ha abierto la beta pública de AI Guardian, una capa de control que intercepta las acciones de los agentes de inteligencia artificial antes de que accedan a herramientas, archivos o credenciales. La propuesta traslada la seguridad desde el contenido generado por el modelo hacia su capacidad para operar con recursos empresariales, un cambio relevante a medida que estos sistemas reciben permisos para programar, consultar datos o ejecutar tareas en nombre de sus usuarios.
La solución establece qué herramientas, archivos y acciones están autorizados, examina en tiempo real cada intento del agente y emite un veredicto de permitido, marcado o bloqueado antes de que continúe. Las decisiones quedan recogidas en un historial auditable, de modo que desarrolladores y profesionales técnicos pueden comprobar qué trató de hacer el sistema y cómo respondió el control de seguridad.
Una política previa para controlar la ejecución
AI Guardian funciona como un servicio en segundo plano y se conecta mediante integraciones específicas con los entornos de agentes compatibles. En su fase inicial admite Claude Code 2.1.121 o superior y OpenClaw 2026.6.6 o superior. La beta está disponible desde el 1 de octubre de 2026 para macOS, se ofrece gratuitamente y solo puede utilizarse en inglés. Bitdefender prevé extenderla a otros sistemas operativos, aunque no ha concretado cuáles ni el calendario.
Su modelo de seguridad se divide en tres momentos. Primero define una política base para los recursos y operaciones permitidos. Después compara cada acción solicitada con esa referencia mientras el agente trabaja. Finalmente registra el resultado para que pueda revisarse. Este planteamiento permite intervenir antes de la ejecución, en lugar de limitar la supervisión a reconstruir posteriormente una actividad potencialmente dañina.
Entre las acciones contempladas figuran las llamadas a herramientas, el acceso a archivos, el uso de credenciales y la activación de capacidades del agente. El producto también identifica intentos de inyección de prompts, inspecciona herramientas asociadas a Model Context Protocol (MCP) y puede restringir el acceso a claves API, secretos, claves SSH o credenciales del sistema. Según Bitdefender, las capacidades compatibles se validan antes de ejecutarse para evitar que funciones no revisadas o sospechosas operen de forma silenciosa.
El análisis de los prompts se realiza en el dispositivo, por lo que su texto no sale del equipo durante ese proceso. Algunas verificaciones concretas, como la consulta de la reputación de una URL, sí utilizan los servicios cloud de Bitdefender. Esta arquitectura delimita qué información se procesa localmente, aunque la eficacia final depende de la configuración, del entorno de ejecución y del tipo de agente utilizado.
Los permisos amplían la superficie de riesgo
La necesidad de estos controles está ligada a la evolución de los asistentes hacia agentes capaces de actuar. Una respuesta incorrecta tiene un alcance distinto al de una operación ejecutada con acceso a una terminal, un repositorio o una credencial. Cuando el sistema puede invocar herramientas, las instrucciones ocultas o manipuladas también pueden influir en acciones que exceden la intención original del usuario.
El estudio MCPTox evaluó 20 configuraciones de modelos en 1.312 casos basados en herramientas de más de 45 servidores MCP reales. La tasa media de éxito de los ataques de envenenamiento de herramientas fue del 36,5%. El 72,8% citado como resultado más elevado correspondió específicamente a o1-mini, no al conjunto del estudio, que registró diferencias importantes entre modelos.
Las credenciales constituyen otro frente. GitGuardian contabilizó 1.275.105 secretos asociados a servicios de IA expuestos durante 2025, un 81% más que el año anterior. El análisis localizó además 24.008 secretos únicos en archivos públicos de configuración MCP. Estas cifras sitúan el problema dentro de la gestión de identidades no humanas y de los permisos concedidos a herramientas que pueden conectarse entre sí.
La aparición de mecanismos de aplicación durante la ejecución también comienza a reflejarse en iniciativas sectoriales. OWASP incorporó en septiembre de 2026 un Agent Control Standard orientado a convertir las recomendaciones de seguridad para agentes en controles prácticos y verificables. AI Guardian se encuadra en esa tendencia, aunque su beta presenta por ahora un alcance limitado por plataforma, idioma y compatibilidad.
Una estrategia centrada en el ciclo operativo del agente
Para Ciprian Istrate, vicepresidente sénior de operaciones del Consumer Solutions Group de Bitdefender, el acceso delegado obliga a tratar al agente como una entidad con riesgos propios. «Los agentes de IA se están convirtiendo en una extensión directa de los usuarios que dependen de ellos, heredando los mismos riesgos de seguridad asociados a ese rol», sostiene el directivo.
AI Guardian es el tercer producto presentado por la empresa en 2026 para este ecosistema. Se suma a Agent Skill Scanner, centrado en lo que instala el agente, y VPN for AI Agents, dirigido a sus conexiones. La nueva pieza cubre las operaciones que intenta realizar. El conjunto refleja una división de la seguridad por fases: incorporación de capacidades, comunicaciones y ejecución.
Para las organizaciones que prueban agentes con acceso a sistemas internos, el planteamiento introduce un control operativo comparable a una política de permisos dinámica: cada acción puede contrastarse con una base autorizada y dejar rastro para su revisión. Su utilidad práctica dependerá de que las empresas definan correctamente esas políticas, limiten las credenciales disponibles y conecten los registros del agente con sus procesos habituales de supervisión y respuesta.
