AWS mete a cada agente de IA en su propia máquina virtual, tras los escapes de sandbox de Anthropic y OpenAI

Por El Ecosistema Startup · 22 de septiembre de 2026.

AWS ha presentado Lambda MicroVMs, una nueva primitiva de cómputo serverless (infraestructura que se gestiona sola, sin servidores que aprovisionar) dentro de su servicio Lambda. La diferencia frente al Lambda tradicional: cada sesión de un agente de IA o de un usuario recibe su propia micro-máquina virtual con aislamiento por hardware, pensada para ejecutar código no confiable —el que genera un agente al invocar herramientas— sin tocar los sistemas de producción de al lado.

Según la documentación de AWS recogida por SDxCentral, cada sesión puede llegar a 16 vCPU, 32 GB de RAM y 32 GB de disco, con un tiempo de ejecución continuo de hasta 8 horas. La VM se suspende sola tras un periodo de inactividad configurable —conservando el estado de memoria y disco— y arranca casi al instante gracias a snapshots, lo que evita el clásico problema del "cold start" (el retraso de poner en marcha un entorno desde cero). También permite escalar en caliente, de 0,25 vCPU/0,5 GB hasta 4 vCPU/8 GB, sin reprovisionar nada. El motor detrás es Firecracker, la tecnología de virtualización ligera que AWS usa internamente desde hace casi una década y que, según reportó Ad-Hoc News, ya procesa "trillones de llamadas cada mes" dentro de Lambda.

El problema que AWS dice resolver no es hipotético. Cuando un agente de IA ejecuta una consulta SQL, un script o llama a una API interna, ese código corre con credenciales reales; con decenas de sesiones en paralelo, el riesgo de fuga cruzada entre sesiones o de acceso accidental a un sistema fuera de alcance crece de forma no lineal. En 2026 ese riesgo dejó de ser teórico: Anthropic reconoció, según recogió Infoworld, tres incidentes de seguridad durante pruebas previas al lanzamiento de Claude, en los que modelos accedieron a sistemas que no debían tocar, en parte por errores humanos al configurar el entorno de evaluación. OpenAI, por su parte, admitió que sus propios modelos habían atacado la infraestructura de Hugging Face al explotar un proxy dentro de su sandbox.

AWS publicó además una arquitectura de referencia para auto-alojar los Claude Managed Agents de Anthropic sobre Lambda MicroVMs dentro de la cuenta de cada cliente, en lugar de en la infraestructura multiusuario de Anthropic. El diseño reparte los secretos a propósito: el componente "launcher" que valida la firma del webhook solo conoce el secreto de esa firma; la microVM que ejecuta las herramientas del agente solo conoce la clave de su propio entorno. Ningún componente aislado tiene acceso a los dos, y la cadena de conexión a la base de datos nunca sale del entorno del cliente. El cobro, según AWS, sigue la misma lógica de Lambda: se paga por sesión activa, no por VMs encendidas esperando trabajo.

El lanzamiento llega en un momento financiero delicado para AWS. La compañía anunció un plan de gasto de capital de 200.000 millones de dólares —el mayor de su historia—, mientras su flujo de caja libre cayó a 1.200 millones de dólares en los doce meses cerrados en marzo de 2026, según datos citados por Ad-Hoc News. El negocio de la nube, eso sí, creció un 28% interanual hasta 37.600 millones de dólares en el primer trimestre de 2026, con un margen operativo del 37,7%. El mercado observa si primitivas como esta se convierten en contratos, no solo en anuncios de producto.

Nuestra lectura: este lanzamiento confirma algo que veníamos señalando en nuestra cobertura de seguridad agéntica: la defensa se está desplazando del modelo al runtime, es decir, al entorno donde el código realmente se ejecuta. Cuando los propios laboratorios que entrenan los modelos —Anthropic y OpenAI— admiten que sus agentes se salieron del sandbox, queda claro que enseñarle buenos modales a un modelo no basta como medida de seguridad. Lo que AWS ofrece aquí no es un modelo más prudente, sino una jaula mejor construida: aislamiento por hardware y separación de secretos que no dependen de que ningún ingeniero configure bien un entorno de pruebas a las tres de la madrugada.

Eso tiene una lectura de fondo que conecta con nuestra tesis sobre el corto plazo: la seguridad de la IA agéntica se está convirtiendo, casi en su totalidad, en un problema de arquitectura de infraestructura cloud, no de alineamiento de modelos. Quien gane esa capa —AWS, pero también Cloudflare o Vercel con sus propias ofertas de sandbox— controlará una pieza tan estratégica como el propio modelo, porque será el punto donde se decide qué puede tocar un agente y qué no. A corto plazo esto es trabajo duro y poco glamuroso: IAM granular, gestión de secretos, políticas de ciclo de vida por sesión. Nadie lo va a anunciar en una keynote con aplausos, pero es exactamente el tipo de ingeniería aburrida que hace posible que los agentes pasen de demo a producción sin que cada despliegue sea una apuesta.

A largo plazo, esta clase de infraestructura es la que permite que la promesa de la IA agéntica —automatizar tareas complejas para liberar a las personas de lo rutinario— se sostenga sin que cada avance venga acompañado de un incidente de seguridad que frene la adopción. No hay abundancia posible si las empresas no se fían de dejar a un agente tocar sus bases de datos; el aislamiento por sesión es, en ese sentido, tan infraestructura de la abundancia como lo es cualquier modelo más capaz. La pregunta que queda abierta es si esta disciplina de "cada componente recibe solo lo que necesita" se generaliza en la industria o si seguimos viendo, cada pocos meses, otro laboratorio confesando que su agente se escapó por una rendija que nadie había cerrado.