Microsoft corrigió una vulnerabilidad crítica en Azure SRE Agent, su servicio de inteligencia artificial que monitorea, diagnostica y repara infraestructura de forma autónoma en Azure. La falla permitía a un atacante remoto con pocos privilegios escalar y tomar el control efectivo de la identidad gestionada del agente, sin necesitar interacción del usuario.
9.9 / 10
Puntuación CVSS
CVE-2026-62830
Identificador
0
Interacción del usuario requerida
Qué encontraron los investigadores
La causa
Falla de autorización (CWE-862, «missing authorization») en el flujo On-Behalf-Of (OBO) del agente.
El alcance
Un atacante podía heredar la identidad gestionada del propio agente y modificar runbooks, telemetría e infraestructura.
La complejidad
Baja complejidad de ataque, sin interacción del usuario — la combinación de mayor urgencia para un equipo de seguridad.
La divulgación
No se ha publicado prueba de concepto pública, pero Microsoft aplicó una corrección del lado del servicio de inmediato.
Por qué es grave para empresas que ya usan agentes de IA en Azure
El valor de un agente como SRE Agent es que actúa de forma autónoma sobre infraestructura real — eso es exactamente lo que lo vuelve un objetivo atractivo. A medida que más empresas adoptan agentes autónomos de IA en su infraestructura de nube, este tipo de vulnerabilidad deja de ser una excepción teórica.
Un agente comprometido no queda limitado a sus propios permisos: esta falla rompía el límite de seguridad del agente y extendía el alcance del atacante a recursos más amplios de los que administra.
Qué deben revisar los equipos de TI
Microsoft aplicó una corrección del lado del servicio — no requiere que el cliente instale ningún parche. Sin embargo, la recomendación oficial es auditar las asignaciones de identidad gestionada, revisar los roles RBAC otorgados a agentes de IA y monitorear elevaciones de privilegio anómalas en el tenant.
La lección para la adopción de IA empresarial
Adoptar agentes de IA en Azure aporta valor operativo real — pero cada agente nuevo es, en la práctica, una identidad con permisos que alguien debe gobernar. La gobernanza de identidades no puede ser un paso posterior a la implementación: tiene que formar parte del diseño desde el primer día.
¿Su empresa ya usa agentes de IA en Azure?
Revisamos la configuración de identidades gestionadas y permisos RBAC de su entorno Azure, antes de que se convierta en un problema de seguridad.
