Cisco ha anunciado la publicación en código abierto de Project Quarry, una herramienta diseñada para identificar ataques llevados a cabo por agentes de IA. Su principio se basa menos en la detección de acciones aisladas que en el análisis de cómo una serie de acciones, aparentemente anodinas, puede revelar una intención maliciosa.
Los sistemas de seguridad tradicionales suelen evaluar cada acción por separado para determinar si es peligrosa o benigna. Este enfoque alcanza sus límites con los agentes de IA, es decir, programas capaces de encadenar por sí solos varias acciones, cuando la intención maliciosa solo aparece a lo largo de una secuencia. Cisco pone el ejemplo del fraude bancario: un banco analiza cada compra de forma aislada, mientras que la detección de fraude debe identificar patrones repartidos en varias compras, a veces en lugares diferentes y en momentos improbables. «La seguridad de los agentes necesita la misma combinación de detección de patrones y pruebas, aplicada a los pasos dados por un agente en lugar de a las compras», escribe la empresa.
Reglas que combinan aprendizaje y lógica
Cisco describe Quarry como un lenguaje de reglas «neurosimbólico», es decir, que combina el juicio de modelos de aprendizaje automático con verificaciones basadas en reglas. Cubre las conversaciones con los grandes modelos de lenguaje (LLM), ya sean de uno o varios turnos, así como los agentes, el uso de herramientas, los intercambios mediante el Model Context Protocol (MCP), un estándar que conecta los modelos con herramientas externas, y las entradas multimodales.
Cada regla se basa en dos tipos de elementos. Por un lado, pruebas procedentes de clasificadores de aprendizaje automático y de «jueces» LLM; por otro, reglas simbólicas que verifican condiciones precisas, secuencias, coincidencias de cadenas de caracteres o relaciones entre herramientas. Quarry está diseñado como una capa de política común, y no como un reemplazo de todos los detectores o de todos los mecanismos de control existentes.
La herramienta puede servir para implementar salvaguardas en tiempo real sobre los agentes, para realizar análisis de seguridad a posteriori a partir de conjuntos de reglas, así como para la respuesta a incidentes. Se integra en el marco existente de Cisco, el Integrated AI Security & Safety Framework, al que extiende desde la descripción de los riesgos relacionados con la IA hacia su detección en la actividad de los agentes.
Una amenaza ya observada
Cisco recuerda que en 2025, Claude Code fue utilizado por actores maliciosos en dos campañas: una dirigida a unas 30 organizaciones, otra dirigida a instituciones gubernamentales mexicanas. En el primer caso, el ataque había sido dividido en tareas rutinarias, que hacían creer al sistema de defensa que se trataba de pruebas de seguridad. Vista por partes, parecía una prueba de intrusión autorizada; su verdadero objetivo, el robo de datos, solo apareció cuando las solicitudes se relacionaron en el orden correcto.
Cisco subraya que los atacantes modifican constantemente sus métodos. Cada nueva técnica identificada debe, por tanto, dar lugar a una nueva regla de Quarry, utilizable por todas las organizaciones. Para responder a esta limitación, la empresa ha previsto un plugin que permite a un agente de programación redactar, compilar y afinar reglas a partir de una descripción en lenguaje común del riesgo de una organización, y luego probarlas en conversaciones reales.
El paquete de inicio incluye, entre otros, un lenguaje legible para las conversaciones, el uso de herramientas y las relaciones entre eventos, un escáner de línea de comandos, un SDK de Python, así como el plugin para Claude Code, Codex y otros agentes compatibles con MCP. Cisco también cita un ejemplo: «Hugging Face reconstituyó aproximadamente 17.600 acciones de agentes a posteriori». El objetivo declarado es permitir a los defensores «reconocer estas secuencias mientras aún están en curso».
