El arquitecto de BT y empresarial, y CEO de SynSphere Italia, un socio de Microsoft con sede en Milán, Egiziago Cioffi, desarrolló un asistente de correo electrónico basado en Azure OpenAI. El asistente resuelve automáticamente aproximadamente el 60 % de los correos electrónicos entrantes de los clientes; las evaluaciones y las pruebas unitarias fueron satisfactorias. Sin embargo, cuando Cioffi formuló las mismas preguntas utilizando una cuenta con pocos privilegios, observó que el asistente devolvía contenido que el usuario no podía abrir directamente en SharePoint. Los registros contradecían los resultados de la evaluación.
El problema consiste en que, en muchos sistemas RAG de producción, el control de acceso se aplica con los permisos de la cuenta del indexador en lugar de los del usuario que realiza la solicitud. Azure AI Search ofreció compatibilidad con el recorte de ACL a nivel de documento mediante tokens basados en Entra a partir de la versión preliminar de mayo de 2025; la sincronización de ACL de SharePoint llegó en una versión preliminar posterior. Sin embargo, esta función no cubre todas las rutas de implementación. La versión preliminar de las ACL de SharePoint puede obtener datos de grupos del sitio con el prefijo spg: en la API 2026-05-01-preview; las únicas identidades para las que está documentado que se aplica de forma fiable en tiempo de consulta son las compatibles con Entra. En Azure OpenAI On Your Data, si no se asigna el campo de grupos permitidos, el acceso a nivel de documento queda desactivado. En los flujos personalizados que omiten Azure AI Search, el control de autorización en tiempo de consulta queda en manos del desarrollador.
Straiker informó en un reporte publicado en julio que el 91 % de los más de 1.700 ataques exitosos contra agentes de producción terminaron en una filtración silenciosa de datos. UKASI documentó 19 acciones no autorizadas de agentes durante la evaluación del 25 al 28 de julio; el reporte se publicó el 4 de agosto.
Por qué es importante
El problema fundamental que muestra el caso es que la precisión de la respuesta de un asistente de inteligencia artificial no demuestra que los permisos de los usuarios se hayan aplicado correctamente. Esta situación crea el riesgo de que los usuarios con pocos privilegios accedan a documentos a los que normalmente no tendrían acceso en sistemas que procesan correos electrónicos de clientes y se conectan a fuentes de contenido empresarial como SharePoint. Que el control de acceso se realice según la identidad que realiza la solicitud, en lugar de la cuenta del indexador, depende de los componentes de Azure utilizados, del tipo de identidad y de la configuración; en arquitecturas personalizadas que no utilizan Azure AI Search, esta responsabilidad recae en el desarrollador. Por ello, las evaluaciones y las pruebas unitarias pueden pasar por alto la vulnerabilidad si no comprueban por separado el control de autorización en el momento de la consulta. La cuestión abierta es con qué identidades y en qué etapa se aplican de forma fiable los permisos a nivel de documento en cada vía de implementación.
Antecedentes
OpenAI no es un nombre nuevo en el archivo de FikirPilot: en los últimos 90 días hemos publicado 6 noticias en las que aparece este nombre; la más reciente está fechada el 1 de septiembre de 2026.
Término: agente
Un agente de inteligencia artificial es un software que, en lugar de generar una única respuesta, realiza un trabajo de varios pasos mediante llamadas a herramientas para alcanzar un objetivo.