Latest / M365.FM – Podcast de Microsoft 365, Copilot e IA en español / Gobernanza de agentes de IA con LangChain4j y Copilot Studio: inyección de prompts, conectores, auditoría y RBAC (Doblaje IA)

Transcript

Gobernanza de agentes de IA con LangChain4j y Copilot Studio: inyección de prompts, conectores, auditoría y RBAC (Doblaje IA) · M365.FM – Podcast de Microsoft 365, Copilot e IA en español

0:00
Sus agentes de IA se lanzan más rápido que tus reuniones de control de cambios, y la gobernanza es puro cuento.
0:05
¿Conoces la sensación cuando un copiloto se lanza con acceso a todo el inquilino solo para probar?
0:08
Sí, ese es el latido del corazón de tu oficial de cumplimiento de lo que escuchas.
0:11
Hoy voy a deslizar el desastre en Langchain4JG Copilot Studio con casos reales, inyección de prompts, conectores demasiado permisivos y brechas de auditoría.
0:19
Te mostraré que se rompe, por qué se rompe, y las soluciones que realmente funcionan.
0:23
Quédate hasta el final, te daré el paso de gobernanza que previene la mayoría de los incidentes.
0:26
Te irás con un modelo de revag para agentes, políticas de pérdida de datos y una lista de edificación de red team.
0:32
Caso 1. Inyección de prompts
0:33
El pasante sin supervisión redacta la política.
0:36
La inyección de prompts es ese pasante sin supervisión que suena servicial, escribe con oraciones completas, y luego envía datos de nómina a su archivo personal para guardarlos.
0:45
¿Crees que tu prompt del sistema es la ley?
0:47
El modelo piensa que es una sugerencia, y en el momento en que lo vas a encontrar en interno, un documento picante o un mensaje al usuario puede reescribir las reglas a mitad de la conversación.
0:55
¿Por qué importa esto?
0:57
Cuando la inyección gana, tu agente se convierte en un poeta rey de la filtración de datos.
1:01
Alucina, escala herramientas, e ignora el lenguaje de las políticas como si fueran los términos de servicio del Wi-Fi.
1:06
En empresas reguladas, eso no es un error, es un incidente reportable con el nombre de tu compañía encima.
1:10
Empecemos con lo que falla en Lanche en 4.jote.
1:13
Lo que la mayoría pasa por alto es que llamar herramientas sin esquemas de salida estrictos es básicamente cometer delitos y devolver vibras.
1:47
La siguiente llamada pasó ese markdown como si fuera configuración… eso no es su orquestación, es un autogol.
1:53
Ahora, aquí es donde la mayoría se equivoca.
1:56
Confían en la configuración de por favor ser seguro del modelo en lugar de implementar barandillas en el código.
2:00
En Lanche en 4.j. necesitas listas de permitidos para nombres de herramientas y argumentos, salidas de esquema JSON reforzadas en el límite,
2:07
filtros de salida basados en patrones, para eliminar secretos y un manejo de excepciones que no reintente la misma entrada envenenada 5 veces como un Golden Retriever con una pelota de tenis.
2:16
La razón por la que esto funciona es que convierte el confiar en el modelo en verificar cada baile.
2:21
Kefai en Copilot Studio.
2:22
La fundamentación ingenua con ingesta amplia de SharePoint.
2:25
Conectas toda una colección de sitios para completarla y ahora, un documento de integración que ignora instrucciones previas se convierte en la nueva religión de tu agente.
2:33
Los prompts del sistema editables por usuarios de negocios son la secuela.
2:35
Amo a los usuarios de negocio, pero darles acceso administrativo a los prompts es como dejar que Marketing configure el firewall porque conocen la voz de la marca.
2:42
Y sí, he visto configuraciones de inquilino donde se deshabilitó la moderación para reducir la fricción.
2:46
Desearías no verlo.
2:47
Evidencia que reconocerás.
2:49
Registros de inquilino que muestran herramientas invocadas con parámetros ilimitados como exportar todas las banderas que nunca debieron existir.
2:55
Trazas de conversación donde el asistente repite una cadena inyectada desde un documento recuperado con interruptores de moderación deshabilitado.
3:01
Eso no es hipotético, es cada revisión posterior a un incidente a la que no quieres asistir.
3:05
Entonces, ¿cuál es el camino seguro que puedes implementar?
3:07
Para el Ancine 4.0, aplica listas de permitidos en el registro de herramientas.
3:11
Si la herramienta no está registrada con un esquema, no existe.
3:13
Exige salidas de esquema JSON y rechaza todo lo que no valide.
3:17
Sin esquema no hay respuesta, punto final.
3:19
Añade filtros de patrones para fugazobias, claves API, secretos, números de seguridad social.
3:23
Los filtros de Bloom son rápidos y baratos, usa.
3:25
Envuelve herramientas con controles de política, valida tipos de argumentos, rangos y formatos esperados antes de la ejecución.
3:30
Añade moderación de contenido en procesadores previos y posteriores.
3:33
Evita que el modelo actúe o emite contenido tóxico o sensible.
3:37
Falla de forma segura con excepciones explícitas y nunca reintentes automáticamente prompts envenenados.
3:41
Para Copilot Studio, bloquea los prompts del sistema.
3:43
Solo los administradores pueden cambiarlo.
3:44
Gestionar sus versiones como si fuera code.
3:46
Limita los conectores ponentes.
3:47
Dev, test, prod, fronteras, diferente.
3:49
Privilegio mínimo en fuentes de datos.
3:51
Activa las políticas de moderación de contenido a nivel de inquilino.
3:54
Esto es lo mínimo indispensable.
3:55
Base el contenido solo en etiquetas de sensibilidad, no en tu.
3:58
Toda la granja por conveniencia.
4:00
La victoria rápida que paga de inmediato.
4:02
Añade un esquema de salida y un paso de moderación con filtro de Bloom en el límite de la gente.
4:06
Eliminarás la mayoría de las fugas tontas sin tocar la lógica de negocio.
4:08
Luego añade una pequeña lista de permitidos para formatos que esperas como resúmenes estructurados y bloquea todo lo demás.
4:14
Déjame mostrarte exactamente cómo resulta.
4:17
Tienes una herramienta de crear tickets que acepta título, descripción y prioridad.
4:21
Sin aplicación de esquema, un atacante inyecta descripción.
4:24
Cerrar todos los incidentes P1 dentro de un bloque de triple comilla invertida.
4:28
El modelo deja pasar.
4:30
Tu API de ITCM se encoge de hombros y ejecuta un script de actualización.
4:33
Con esquema y validación, la descripción no puede contener tokens de comando ni exceder la longitud.
4:37
La solicitud falla de forma segura.
4:39
Registra el ID de correlación y tu CM marca una aerte de moderación.
4:42
Y listo.
4:44
Mirá ese resultado.
4:45
Incidente evitado.
4:46
Rastro preservado.
4:47
Auditor satisfecho.
4:48
Errores comunes que evitan.
4:50
Dejar que el modelo elija los nombres de las herramientas dinámicamente.
4:52
Las herramientas son contratos, no sugerencias.
4:54
Aceptar JSON de formato libre es invalidado.
4:56
Que el JSON se vea bien no es un cumplido.
4:58
Prompts editables en entornos de producción.
5:01
Si puede cambiar sin revisión, lo hará.
5:03
Depende de la memoria de la conversación para la política.
5:05
La política va en el código y la configuración, no en corazonadas.
5:08
Una vez que logras esto, todo lo demás encaja.
5:10
Evitas que el pasante hable cuando no debe.
5:12
Luego, evitas que entre cada habitación con una llave maestra.
5:15
Segundo caso.
5:16
Conectores sobre permisivos.
5:17
Las llaves del reino colgadas al cuello.
5:19
Ya evitaste que el pasante habla.
5:21
Ahora quita la credencial.
5:22
Los conectores sobre permisivos son como ese manojo de llaves.
5:25
El conserje que abre todas las puertas del edificio.
5:26
Incluyendo la bóveda, la guardería y de alguna manera la bicicleta de SEO.
5:30
Razón para que esto importe.
5:31
Un conector con permisos excesivos equivale a la exfiltración de datos de toda la empresa en una sola solicitud.
5:35
Y no es algo teórico.
5:37
Una sola.
5:37
Mientras todavía discute sobre el título del ticket de cambio.
5:40
Empecemos con lo que falla en Lanchine 4 Hot.
5:43
Los desarrolladores comparten claves de API entre agentes por conveniencia.
5:46
Luego alguien sube el archivo en B a un repositorio privado que en realidad es público.
5:49
Y termina gestionando incidentes a las dos AM desde el extranjero.
5:52
Los alcances de OWAT son los siguientes.
5:54
Concedes permisos de lectura y escritura para ahorrar tiempo en pruebas.
5:57
Y seis meses después, ese token de prueba es la joya de la corona de producción.
6:00
¿Y el registro de herramientas?
6:02
Amo un registro limpio, pero si apuntas un agente de desarrollo a credenciales de producción porque la demo debe funcionar hoy,
6:06
acabas de conectar una motosierra a una Roomba.
6:09
Lo que la mayoría pasa por alto es que las herramientas heredan la identidad que les otorgues.
6:12
Credenciales compartidas significa compartir.
6:15
No existe una bandera mágica de solo guardar cosas.
6:17
Si el token puede borrar registros, toda gente puede borrarlos accidentalmente, con entusiasmo y total confianza.
6:22
Ahora pasemos a Copilot Studio.
6:24
Los conectores de M35 para todo el inquilino son la trampa.
6:27
Haces clic una vez y ahora cada Copilot en cada equipo puede ver datos que no debería.
6:32
Eso no es empoderamiento, es un buffet de errores.
6:34
Luego los despliegas en equipos con visibilidad para toda la organización por cuestiones de adopción
6:38
y de repente un bot destinado a finanzas responde preguntas en marketing
6:41
extrayendo contenido de sitios de SharePoint que nunca debió saber que existían.
6:45
¿Y los ganchos SaaS de terceros no gestionados?
6:47
Son como las unidades USB en 2009, misteriosamente en todas partes y siempre temporales.
6:51
La evidencia aparece de la misma forma cada vez.
6:53
Secretos antiguos que nunca rotaron, sin expiración, sin propietario.
6:58
Conectores mapeados a grupos globales por simplicidad.
7:01
Registros de aplicaciones con alcances que parecen una confesión.
7:04
Y sí, esa clave temporal de producción viviendo en desarrollo durante meses.
7:08
Tus hallazgos de seguridad y configuraciones de inquilino mentirán solo su pirana.
7:12
No sé cuál es el camino a seguir.
7:13
Para Lancia en Foria, trata a cada agente como una aplicación separada con su propia identidad.
7:17
Crea directores de servicio para cada agente.
7:19
La de token comparte.
7:20
Si dos agentes necesitan la misma API, aún así obtienen credenciales diferentes.
7:23
Usa OAuth con alcance definido.
7:25
Otorga el conjunto mínimo de permisos para que la herramienta haga su trabajo.
7:28
Lector no escritor.
7:29
Escribe en una colección, no en todas.
7:31
Guarda los secretos en un gestor de secretos adecuado.
7:33
Rótalo según un cronogram.
7:34
Rótalo ante cualquier que decide.
7:36
Rótalo si alguien tan solo menciona un token.
7:38
Añade control de acceso a nivel.
7:39
Con el motor de herramienta verifica el rol del autor antes de tocar una app.
7:42
Sin rol no hay llamada.
7:43
Entornos separados, las llaves de desarrollo solo hablan con sistemas de desarrollo.
7:46
Si una herramienta ve a un punto final de producción en desarrollo, se bloquea y lanza alertas en el registro.
7:50
Para Copilot Studio establece límites estrictos con entornos y alcances.
7:54
Usa separación de entornos, desarrollo y producción.
7:57
Conectores diferentes, permisos diferentes, propietarios diferentes.
7:59
Revisa los alcances de los conectores con un flujo de trabajo.
8:02
Los cambios requieren aprobación, fechas de expiración y propietarios.
8:04
Sin propietario no hay conector.
8:06
Aplica políticas de DLP por canal.
8:07
Canal de finanzas tiene reglas más estrictas que las de toda la empresa.
8:10
Ese es el punto.
8:11
Elimina los despliegues de Teams a nivel de organización por pruebas piloto.
8:14
Limita la visibilidad a un grupo de seguridad.
8:16
Expanda después de una revisión.
8:17
Inventar y controlar los conectores SAS de terceros.
8:20
Si no está gestionado, está desactivado por defecto.
8:22
Los propietarios deben justificar el acceso y renovarlo.
8:24
Aquí hay una victoria rápida que puedes implementar esta tema.
8:26
Elimina los alcances a nivel de inquilino y asigna cada conector a un grupo de seguridad con política de expiración.
8:31
Cuando el grupo expira, el acceso termina sin problema.
8:33
Y en drama, sin sorpresa.
8:35
Déjame mostrarte exactamente cómo se...
8:36
Tienes una herramienta de exportación de informes que escriben en un depósito de almacenamiento.
8:39
Con credenciales compartidas puede abrir todos los depósitos.
8:42
Haces un comando que dice guarda la copia de seguridad en el archivo.
8:44
Coloca discretamente datos confidenciales en una ruta pública.
8:47
Con directores por agente y roles definidos, esa herramienta solo puede escribir en un depósito con un prefijo.
8:54
Si el modelo decide inventar otra ruta, la API lo deniega.
8:58
Registras el ID de correlación y tu CM dispara una alerta.
9:01
Y listo, nada de fugas de datos accidental.
9:04
Errores comunes a evitar.
9:06
Salar grupos globales para el acceso solo por ahora.
9:08
Ahora nunca termina.
9:09
Otorgar alcances amplios o totales porque los documentos serán confusos.
9:12
Confuso no es un permiso.
9:14
Copiar credenciales entre entorno.
9:16
Si puedes pegarlo, lo pegarás mal.
9:18
Tratar la visibilidad de Teams como algo inofensivo.
9:20
La visibilidad es acceso.
9:21
El acceso a riesgo.
9:22
Una vez que perfeccionas el alcance de acceso, los auditores dejan de buscar problemas.
9:26
Y cuando llamen a tu puerta necesitarás prueba.
9:28
Lo que nos lleva a la parte que todos olvidan.
9:30
Si no está registrado, no sucedió.
9:32
Caso 3.
9:33
Prechazo.
9:35
Si no está registrado, no sucedió.
9:37
El exceso.
9:38
Enema.
9:39
Ahora pruébalo.
9:39
Porque cuando un auditor pregunte qué hizo el agente a las 3.14 pm.
9:43
Y tu respuesta sea, creemos que algo.
9:46
Eso no es una postura.
9:47
Eso es una jería de disculpas.
9:49
¿Por qué esto importa?
9:49
Sin linaje, no puedes explicar respuestas extrañas, revertir acciones incorrectas o saber si un incidente fue contenido.
9:55
El regulador les encanta ese incertidumbre.
9:57
A los clientes les gustaban.
9:58
A tus ejecutivos realmente les encanta cuando dicen no tenemos idea.
10:01
Esto es lo que la mayoría pasa por alto en la Enchín 4X.
10:04
Tu cadena hace mucho más de lo que admite en tu registro.
10:06
Sin gráficos de ejecución, no puedes reconstruir los pasos.
10:09
Sin aires de rastreo, los eventos parecen fuegos artificiales aleatoria.
10:12
Los registros parciales ocultan la llamada de la herramienta que importa.
10:15
Y los fallos silenciosos de herramientas.
10:16
Eso es mi favorito.
10:17
Todo se ve bien mientras la herramienta nunca se ejecutó.
10:20
Y el modelo simplemente alucinó la respuesta por cortesía.
10:23
Esto lo entendí el día que investigué un incidente donde un paso de recuperación expiró, devolvió nulo,
10:27
y el siguiente paso escribió alegremente,
10:28
nos encontraron registros cerrando un registro, cerrando un ticket en la API.
10:32
Sin excepción, sin rastro.
10:33
Solo vibras y tickets cerrados.
10:34
Si no puedes distinguir la salida del modelo de la salida de la herramienta en tu registro, ya estás en problema.
10:38
Déjame mostrarte exactamente cómo corregir el registro en el Anchein 4 ya para que esté listo para los tribunales.
10:42
Primero, habilita el registro estructurado en todas partes.
10:44
JSON o sopa de cadenas.
10:46
Cada solicitud y respuesta obtiene un sobre con marcas de tiempo,
10:49
un nombre del modelo con TD tokens y un ID de correlación que sobrevive a toda la cadena.
10:52
Luego agrega gráficos de ejecución o rastreos usando Langsmith o Langgraph.
10:57
Cada nodo registra entradas, salidas, duración y errores.
10:59
Sin la herramienta falla que falla dosamente.
11:01
Sin fallos silenciosos, sin asumimos que.
11:03
Ahora lo más importante, entrevistad.
11:05
Envía rastreos y registros a tu SIM.
11:06
No los dejes en un pod que se autoescala al olvido.
11:09
Añade muestreo para el ruido, pero nunca dejar de ser errores.
11:11
Quieres buscar por ahí de rastreo y ver toda la historia.
11:14
Prompts, documentos recuperados, llamadas herramientas, respuestas de API y la respuesta final sin jugar.
11:18
¿A dónde está Wally Invent?
11:19
A las 12 a.m. pasemos a Copilot Studio.
11:21
La plataforma te da algo de telemetría, pero está dispersa entre equipos, dataverse y cualquier conector que hayas tocado.
11:26
La exportación limitada de conversaciones significa que obtienes fragmentos, no narrativas.
11:29
La telemetría fragmentada significa que tu oficial de cumplimiento está uniendo capturas de pantalla como si fuera una manualidad.
11:34
Arreglalo construyendo un canal de auditorio unificado.
11:36
Active la retención de transcripciones de conversaciones con acuerdos de nivel de servicio SLA claros.
11:40
¿Quién los guarda? ¿Cuánto tiempo y por qué?
11:42
Exporte los registros de conversaciones y acciones a un espacio de trabajo centralizado como Fabricolo Analytics.
11:46
Etiquete cada evento con una ID de correlación que pase desde el punto de entrada en Teams hasta los complementos de dataverse y las API descendentes.
11:53
Si el chat dice crear caso, quiero poder hacer clic al registro exacto en el sistema exacto con los datos exactos que se enviaron.
12:00
Evidencia que reconocerá en las revisiones de incidentes.
12:02
Llamadas a LLM huérfanas en registros sin procesar que no se asignan a ninguna sesión de usuario.
12:06
Invocaciones de herramientas sin un prompt correspondiente.
12:08
O respuestas que citan fuentes que no puede encontrar porque los registros de base no incluyen ID de documento.
12:12
Eso no es un misterio.
12:14
Es una infraestructura fatal.
12:15
Victorias rápidas que puede implementar esta semana.
12:17
Exija sobres de respuesta a solicitudes con hashes.
12:19
Almacén un hash de contenido de prompts, fragmentos recuperados y resultados para probar su integridad.
12:24
Si alguien manipula los datos, el hash dirá que no.
12:26
Requiere IDs de correlación de extremo a extremo.
12:29
Genérelos en el borde.
12:30
Páselos por cada salto y rechace cualquier llamada que los pierda.
12:33
Sin ID no hay servicio.
12:34
Defínalos y acelerar atención.
12:35
La área legal aprueba.
12:37
Seguridad aplica.
12:37
90 días para desarrollo.
12:39
Un año para producción.
12:40
Más tiempo para dominios regulados.
12:41
Públiquelo.
12:42
Coin plan.
12:43
Errores comunes que debe evitar.
12:44
Registrar secretos de información de identificación personal.
12:46
Aplique máscara.
12:47
Conserve los campos necesarios para ganar y influenciar nuevas joyas de la cola.
12:50
Muestreo de errores.
12:51
Muestreo de éxitos.
12:52
Registre todos los feos.
12:53
Cuando las cosas fallan, necesitará cada información.
12:56
Registros de texto libre.
12:57
A los humanos les encanta, a las máquinas los odian.
12:59
Use campos.
13:00
Agregue esquemas.
13:01
Valide la ingesta.
13:03
Ahora los auditores preguntan qué pasó.
13:05
Usted abre un seguimiento.
13:06
Muestra el prompt, los IDs de documentos recuperados, la entrada de la herramienta, la salida de la herramienta y el mensaje final.
13:11
El ID de correlación coincide con la puerta de enlace de API, la escritura en la base de datos y el mensaje de T.
13:15
Y listo, la historia tiene sentido.
13:17
Entonces, cuando puede ver, puede gobernar.
13:19
Lo que significa que es hora de formalizar las reglas y restringir quién hace qué.
13:23
El modelo de los agentes-agentes trate a los agentes como usuarios muy tontos pero muy poderosos.
13:27
Ya tiene visibilidad.
13:28
Bien.
13:29
Ahora, dele a estas cosas una identidad y una corre.
13:31
Los agentes son usuarios.
13:32
Usuarios muy tontos, muy poderosos.
13:34
Si no le daría a un humano acceso de administrador temporal el primer día, no se lo dé a un loro estocástico que no distingue el sarcasmo de un comando sudo.
13:39
¿Por qué esto es importante?
13:41
La mayoría de las organizaciones aseguran a los humanos agentes.
13:43
El agente entonces elude al principio de menor privilegio por diseño.
13:46
Salta entre herramientas, cruza entornos y nadie lo nota porque no aparece en el organigrama.
13:51
Si es como un bot de ayuda, se convierte en un administrador en la sombra.
13:54
Este es el modelo que quiero que implemente.
13:55
Una identidad por agente, roles claros, verificación de políticas en el código y límites de entorno que realmente signifiquen algo.
14:01
Comience con la identidad.
14:03
Crea un principal de servicio para cada agente, no un bot de plataforma 01.
14:05
No.
14:06
Una asignación real de uno.
14:08
Nómbrelo como una aplicación.
14:09
Etiquétele con propietario.
14:10
Propósito, entorno y fecha de caducidad.
14:11
Si dos agentes acceden a la misma app y aún así obtienen identidades diferentes.
14:15
Identidad compartida es igual a radio de impacto compartida.
14:18
Luego define una taxonomía de roles que hasta las personas ocupadas puedan aplicar.
14:21
Yo uso cuatro.
14:21
Lector, ejecutor, ejecutor, administrador.
14:23
El lector puede obtener datos.
14:25
En efecto secundario.
14:25
Piensa en consultar, recuperar, resumir.
14:28
El ejecutor puede invocar flujos de trabajo con efectos limitados.
14:31
Crear ticket, enviar aprobación, programar reunión.
14:34
El escritor puede escribir datos en ámbitos específicos.
14:37
Una tabla, un depósito, un buzón, no todos.
14:39
¿El administrador puede cambiar la configuración?
14:42
Terrol debería hacerlo sudar.
14:44
Úselo con moderación, con límite de tiempo y siempre con doble aprobación.
14:47
Ahora mapee su AlangChain 4G.
14:48
Las herramientas son sus puntos de aplicación.
14:50
Cada envoltorio de herramienta verifica el rol del autor de la llamada antes de ejecutar.
14:53
Si la identidad del agente está mapeada como lector, una herramienta de escritura nunca
14:56
recibe la llamada.
14:58
No se detengan al rol, incluye el ámbito del recurso.
15:00
Un escritor para casos de finanzas no puede escribir en casos de ventas.
15:04
El ámbito no es un comentario, es una barrera.
15:06
Use variables de entorno y archivos de configuración para vincular herramientas a entornos.
15:10
El agente de desarrollo solo ve host y claves de desarrollo.
15:12
Si intenta una URL de producción, bloquea el acceso y registra el rol.
15:15
Las verificaciones de políticas ocurren en el límite, no después de que la llamada la
15:18
pifaya.
15:19
En Copilot Studio sigue el mismo patrón con roles de entorno y ámbitos de conector.
15:22
Asigne al agente a un entorno con permisos que reflejen lector, ejecutor, escritor, administrador.
15:29
Los permisos del conector se asignan a grupos de seguridad vinculados a esos roles.
15:32
Los límites de Explique en Teams son su radioimpact.
15:34
Mantenga las pruebas piloto dentro de un grupo pequeño.
15:36
Expanda solo con un tique de camino.
15:38
Aquí es donde el flujo de revisión lo mantiene apegado a las normas.
15:40
Cualquier cambio de ámbito es una solicitud de cambio.
15:42
Liste al agente, el rol solicitado, el conector o herramienta, el entorno, la razón, el solicitante
15:46
y la caducidad.
15:47
A.
15:48
Dos aprobaciones, un propietario técnico y un propietario de los datos.
15:50
Cuando llega la caducidad, el acceso muere automáticamente y recibe una alerta para renovar
15:55
o dejarlo ir.
15:56
Temporal finalmente significa temporal.
15:58
Déjenme mostrarles exactamente cómo sucede esto con una microhistoria.
16:00
Un agente le pregunta si respuestas financieras comienzan con red.
16:02
A la gente le encanta, así que el producto quiere crear informes de gasto.
16:05
Y esa es una acción de ejecutor con un ámbito limitado.
16:07
Agregas una nueva herramienta con una política a nivel de herramienta.
16:10
Solo envío de gastos, solo para el centro de costos del empleado y solo con menos de
16:13
cinco archivos adjuntos y solo juntos.
16:15
La identidad del agente obtiene el ejecutor para esa única API que expira en 30 días.
16:19
En Copilot Studio, el entorno obtiene un permiso de conector para una tabla de data
16:23
verse con seguridad.
16:24
A nivel de fila, los registros de auditoría muestran el ticket de cambio, los aprobadores
16:27
y la fecha de expiración.
16:29
Cuando marketing pide también eliminar informes, rechazas la solicitud o la rediriges a una herramienta
16:32
de escritura independiente con sus propios propietarios y SLA.
16:35
El modelo puede querer cualquier cosa.
16:37
La política impone todo.
16:38
Errores comunes que debes de tener.
16:41
Identidades compartidas por conveniencia.
16:43
La conveniencia enemiga de la contención.
16:45
Administrador temporal que nunca expida.
16:47
Pon límites de tiempo al permiso, no a tu calendario.
16:49
Credenciales de proyecto en desarrollo para desbloquear demostraciones.
16:52
Las demostraciones no necesitan datos de producción en los auditores.
16:54
Control de herramientas por interfaz de usuario.
16:56
Si el modelo puede llamarlo, la interfaz de usuario no importa.
16:58
Si no recuerdas nada más, trata a los agentes como usuarios con curiosidad tonta y cuchillos
17:02
afilados.
17:03
Identidad por agente.
17:04
Rol por acción.
17:05
Alcance por recurso.
17:07
Tiempo limitado por defecto.
17:08
Y cada llamada verifica la política antes de tocar los datos.
17:11
Políticas de pérdida de datos que realmente impiden que la IA se convierta en un grifo
17:14
y goteo.
17:15
Le diste a los agentes, identidades y errores.
17:16
Ahora tengamos la filtración.
17:18
La gobernanza proactiva bloquea lo malo antes de que salga del edificio.
17:21
¿Por qué esto importa?
17:22
La IA multiplica la exposición.
17:23
Un solo prompt puede producir 100 tokens de salida, cada uno una posible fuga.
17:27
Si tus controles solo aparecen en los postmortem, estás haciendo análisis forense,
17:31
no gobernanza.
17:32
Aquí está el conjunto de políticas que realmente funciona.
17:34
Piensa en ello como cinturones de seguridad versus de aire.
17:36
Reducción de pie en los resultados por defecto.
17:38
Nombre, correo electrónico, números de teléfono, identificación y acción.
17:41
Si el usuario no tiene derechos, en máscara.
17:43
El interno de nadie es donde viven las filtraciones.
17:46
Detección secretos.
17:47
Protección para claves API, tokens, claves privadas, cadenas de conexión, patrones,
17:50
más filtros de Bloom para mayor velocidad.
17:52
Agrega sumas de verificación para formatos comunes para que los falsos objetivos no te gusten.
17:55
Filtros de términos sensibles adaptados a tu negocio.
17:57
Nombres de proyectos legales.
17:59
Palabras clave de fusiones y adquisiciones.
18:00
Nombres en clave de producto no lanzado.
18:02
Mantén esta lista en un almacén gestionado con propietarios de historial de cambios.
18:05
Lista de permitidos por reques para la estructura S.
18:06
Si la herramienta espera un resumen de facturas, solo pasan los resultados con formato de factura.
18:10
La poesía narrativa no pasa.
18:11
Los esquemas son opcionales.
18:12
Son contable.
18:13
En Lanchine foro IT, la aplicación se hace mediante pre-procesador.
18:16
Los pre-procesadores escanean las entradas en busca de cargas útiles de inyección y texión.
18:19
Los post-procesadores validan esquemas JSON, ejecutan filtros de términos y secretos
18:23
y redactan PII antes de que algo abandone el límite de la gente.
18:26
Si una validación falla, devuelve un error seguro con un área de correlación.
18:30
Nada de verdades a mí.
18:31
Nada de dudas.
18:32
Añade proceso moderación.
18:33
Filtros de patrones ligeros y filtros de blog.
18:36
Moderación más pesada basada en IA para el contexto.
18:39
Por ejemplo, no revelar datos de salud.
18:41
Encadenados.
18:42
Defiaya que se bloque.
18:43
Define un comportamiento de respaldo.
18:44
Resume un nivel superior.
18:46
Da una negativa segura o redirige a un humano.
18:48
No hagas que el modelo intente dar una filtración más segura.
18:50
En Copilot Studio, usa la infraestructura que ya pagas.
18:53
Las políticas de DLP en Microsoft 365 se aplican a canales y conectores.
18:57
Actívalas y ajustalas.
18:59
Usa etiquetas de sensibilidad en tus fuentes de conexión para que la gente nunca indexe contenidos sensibles sin aprobación explícita.
19:05
La moderación a nivel de inquilino debe estar activa por defecto, no activarla después.
19:09
Después es cuando intervienen las relaciones públicas.
19:10
El monitoreo une todo esto.
19:12
Establece umbrales.
19:13
Tamaño de salida inusual.
19:14
Destino inusual.
19:15
Frecuencia inusual.
19:16
Si un bot de preguntas y respuestas envía megabytes a un punto final externo, pon la sesión en cuarentena.
19:21
Pira automáticamente sesiones riesgosas y notifica a los propietarios.
19:23
Mantén las alertas accionadas.
19:25
Las notifiques a todos por cada evento de mascaramiento.
19:27
Una victoria rápida que puedes implementar.
19:29
Aplica esquemas de salida y listas de bloqueo en los límites de la gente.
19:32
Sin esquema no hay respuesta.
19:34
Añade reducción de PIB como paso final.
19:36
Esa combinación detiene las filtraciones obvias y te da tiempo para implementar el resto.
19:39
Errores comunes.
19:40
Depender del código del frontend.
19:42
Redacten el servidor antes de que el mensaje llegue al cliente.
19:45
Una lista de bloqueo global.
19:46
Segmenta por dominio de negocio.
19:48
Las palabras de finanza no son palabras de marketing.
19:50
Registrar el original sin redactar para depuración.
19:53
Enmascara durante el ingesto.
19:54
Guarda una copia en una bóveda segura solo si tu equipo legal lo autoriza.
19:57
Cierra el rifo y luego intenta romperlo a propósito.
20:00
La lista de verificación de red.
20:02
Rómpelo antes de que lo hagan los usuarios.
20:03
No confías en un cinturón de seguridad hasta que tiras de él.
20:06
Lo mismo con la advertificación.
20:07
Aquel caso sea programado.
20:08
El objetivo es una prueba adversarial repetible, no solo en presión.
20:11
Crearás una lista, la ejecutarás periódicamente y controlarás los lanzamientos con ella.
20:15
Pruebas de inyección primer.
20:16
Confusión de errores.
20:18
Induce a la gente a ignorar la política de actuar como el sistema.
20:21
Debería negarse.
20:22
Colisión de nombre de herramientas.
20:23
Inyecta nombres de herramientas y parámetros fácil.
20:25
Solo deben ejecutarse las herramientas registradas.
20:27
Omisión del esquema.
20:29
Inserta comandos en cadenas y comentarios JSON.
20:32
Los validadores deben rechazar.
20:33
Señuelo de cadena de defensa.
20:34
Intenta obtener volcados de razonamiento que filtren fuentes.
20:37
La salida debe mantenerse dentro del esquema.
20:39
Promptex filtración de datos.
20:41
Impide los números de seguridad social exacto.
20:42
Exportando los correos.
20:44
Obtienes una negativa con un registro de título.
20:46
Pruebas de acceso después.
20:47
Escalamiento de admisa.
20:48
Solicita acciones fuera de la real de la gente.
20:50
Esa herramienta debe bloquear a nivel de envoltor.
20:52
Comportamiento con token expirado.
20:54
Rota los secretos durante la sesión.
20:55
Las llamadas deben fallar de forma cerrada con errores claves.
20:57
Fugas en entornos ocultos.
20:59
Un agente de desarrollo intentos al punto final de producción.
21:01
Faire total.
21:02
Registros detallados.
21:03
Pruebas de auditorio.
21:04
Interrestreo.
21:05
Puede reconstruir del prompt a la acción con un solo ID de correlación.
21:08
Detección de manipulación.
21:09
Alterar registros almacenados.
21:10
Un error de hash de Iberatar.
21:12
Correlación entre servicios.
21:13
Desde ID de mensaje de Teams.
21:14
Registro en Dataverse y llamada a IP externa.
21:16
Todo coincidente.
21:17
Define puertas de aprobación y rechazo.
21:20
Sin esquema fallará.
21:21
Cualquier resultado que no valide bloquea el lanzamiento.
21:24
Ámbito de todo el inquilino fallará.
21:25
Cualquier conector sin grupos de ámbito y expiración será bloqueado.
21:28
Fallo silencioso de herramienta fallará.
21:30
Los errores deben mostrarse, no ocultarse.
21:32
Sin plan de reversión fallará.
21:33
Si no puedes revertir un cambio de permisos o una configuración de modelo en minutos,
21:37
¿no estás listo?
21:38
Cadencia de prelanzamiento para cada cambianaje.
21:40
Ejercicios trimestrales de caos en entornos similares a producción.
21:43
Ciclo de aprendizaje post-incidente en 5 días hábiles con nuevas pruebas añadidas al conjunto.
21:48
Propietarios y SLA.
21:49
Cada elemento de la lista tiene un responsable, una SLA de corrección y un estado.
21:52
Sin propietario no se lanza.
21:54
Victoria rápida.
21:55
Configura sin esquema fallará y ámbito de todo el inquilino fallará como comprobaciones de C y CD.
22:00
Si cualquiera se activa, la TV se detiene.
22:02
Sin reuniones, sin debate, solo una luz roja que todos respetan.
22:05
Ejecuta la lista.
22:05
Rompe cosa.
22:06
Arregla.
22:07
Luego vuelve a ejecutarlo hasta que las sorpresas dejen de ser sorprendentes.
22:11
El paso de gobernanza que la mayoría de las organizaciones omiten.
22:13
Si no recuerdas nada más, los agentes son identidad.
22:16
Trátalos como usuarios muy tontos pero muy poderosos, con privilegios mínimos, contratos de salida forzados y registros de auditoría completos.
22:23
El paso que la mayoría omite es crear directores de servicio dedicados para cada gente.
22:26
Luego conectar cada herramienta y conector mediante roles delimitados por el entorno.
22:31
Nada de credenciales compartidas ni ámbitos de todo el inquilino.
22:33
Adopta el modelo de R.
22:34
Activa las políticas de LP y ejecuta la lista de verificación del equipo rojo esta semana.
22:39
Suscríbete para el seguimiento donde mostraré las configuraciones exactas en Langchain para EJ y Copilot Studio para que puedas copiar y pegar gobernanza en lugar de disculpas.