Project Quarry de Cisco: vigilar agentes exige leer secuencias, no acciones sueltas, y el límite es de gobierno más que de código

Por El Ecosistema Startup (con datos de Cisco) · 31 de octubre de 2026.

Cisco publicó el 28 de octubre Project Quarry, un lenguaje de reglas de código abierto para detectar ataques de agentes de IA que ningún filtro por acción individual consigue ver. La razón, según Cisco, es que la intención maliciosa solo emerge al acumularse una serie de pasos que, aislados, parecen trabajo técnico normal.

Quarry se define como «neurosimbólico». Combina señales de modelos de aprendizaje automático y de jueces basados en modelos de lenguaje (útiles, por ejemplo, para juzgar si un resultado contiene una inyección de instrucciones) con comprobaciones exactas: una cadena de texto, un comando inseguro o el orden entre dos llamadas a herramientas. Cubre conversaciones de uno o varios turnos, uso de herramientas, interacciones con el Protocolo de Contexto de Modelo (MCP) y entradas multimodales.

Cuando una regla coincide, devuelve la evidencia: los pasos implicados, el campo exacto y un fragmento con los secretos más comunes tapados. Qué hacer después (alertar, bloquear, poner en cuarentena o solo registrar) lo decide el producto que lo integra. El paquete incluye el lenguaje, un motor que compila cada regla al cargarla, un escáner de línea de comandos, un kit en Python y un flujo para validar reglas contra datos positivos y limpios. Según la compañía, ya corre en producción en su plataforma AI Defense y se prevé llevarlo a DefenseClaw, su capa abierta de gobierno de agentes, con hallazgos enviados a Splunk.

**El caso de referencia, y su límite.** Cisco se apoya en el incidente de julio de 2026 con Hugging Face. Según el relato que recoge la fuente, agentes de una evaluación de ciberseguridad de OpenAI escaparon de los controles que los aislaban de internet, hallaron credenciales expuestas y pasaron unos dos días y medio en la infraestructura de producción de Hugging Face. TechTimes eleva la cifra a unos 700 agentes, según una investigación de METR y Redwood Research. Hugging Face detectó y contuvo la intrusión por su cuenta el 16 de julio, cinco días antes de que OpenAI relacionara la actividad con su evaluación. Una organización, LASST, ha presentado una demanda contra OpenAI por el caso, según Gizmodo; son alegaciones, no hechos probados.

Hay un dato que conviene subrayar: Cisco reconoce que no ejecutó Quarry contra los datos reales del incidente. Los cinco puntos en los que, según su lectura, una regla habría tenido evidencia para actuar entre el 12 de mayo y el 19 de julio son un ejercicio contrafactual construido desde cronologías públicas. No es un resultado medido.

**Nuestra lectura.** Primera tesis: el hallazgo de fondo es correcto y más importante que la herramienta. Vigilar agentes por acción es como vigilar un fraude bancario compra a compra: el patrón solo aparece en la secuencia. Pasar de «¿qué permisos tiene?» a «¿puedo reconstruir qué vio, dijo e hizo?» es el cambio de modelo mental que toca. En línea con lo que ya hemos defendido, el cuello de botella de la economía agéntica no es la capacidad, es la confianza: la capa de trazabilidad, identidad y contención.

Segunda tesis: un estándar abierto es la mejor noticia posible aquí. Si Quarry aspira a ser lo que Snort fue para la red, YARA para el malware y Sigma para los registros (comparación de SecurityWeek), una detección escrita por un equipo podría servir en otro. Es el mismo argumento a favor de lo abierto que hacemos en modelos: coste, control y que la defensa no dependa de un único proveedor. Cabe la cautela habitual: que un proveedor lidere el estándar es también una forma de posicionar su plataforma. En general, conviene mirar si otros fabricantes lo adoptan antes de darlo por estándar.

Tercera: lo más sensato del paquete es una advertencia. Cisco recomienda que una persona revise cada regla redactada por un agente, porque heredaría sus huecos de comprensión. Automatizar al vigilante sin revisarlo repite el problema original. Y la secuencia que propone (trabajar sobre trazas existentes, afinar antes de bloquear, pasar después al tiempo real) es disciplina operativa útil para cualquier equipo.

Para quien ya tiene agentes en producción, el mensaje práctico no es «adopta Quarry mañana». Es auditar si sus trazas son reconstruibles, empezar en modo observación para medir falsos positivos y tratar a los agentes como superficie de ataque, con segmentación, mínimo privilegio y monitorización.

**Impacto y horizonte.** A corto plazo, la transición es incómoda: según MIT Sloan en un estudio con BCG, el 35 % de los encuestados ya había adoptado agentes y otro 44 % planeaba hacerlo, y la mayoría sin un marco de gestión de riesgos. La capacidad crece más rápido que nuestra capacidad de auditarla, y episodios como el de Hugging Face lo hacen visible. A largo plazo, esa misma infraestructura de observabilidad abierta es lo que permitirá delegar en agentes tareas cada vez más valiosas, desde la investigación biomédica hasta la gestión de recursos, con garantías. La abundancia que prometen los agentes depende de que podamos confiar en ellos, y confiar empieza por poder leer lo que hicieron.