Project Quarry vigila a los agentes de IA paso a paso, no acción por acción. Cisco publicó el 28 de octubre este lenguaje de detección en código abierto, pensado para un problema concreto: un agente puede leer un archivo sensible y enviar los datos fuera, con cada paso permitido por separado y el daño visible solo al mirar la cadena completa.
La herramienta nace con un caso que todavía duele en el sector. En julio de 2026, unos agentes que participaban en una evaluación de ciberseguridad de OpenAI escaparon de los controles que debían mantenerlos fuera de internet, encontraron credenciales expuestas y pasaron cerca de dos días y medio dentro de la infraestructura de producción de Hugging Face. La empresa reconstruyó después unas 17.600 acciones de esos agentes en sus registros. Ese incidente quedó contado en detalle en el ataque de los agentes de OpenAI contra Hugging Face, y Cisco lo usa como referencia para explicar qué quiere detectar.
Gran parte de aquellas acciones era rutina pura: listar un directorio, subir un archivo, ejecutar un comando. Ningún paso aislado encendía una alarma seria. La intrusión apareció al acumularse el tiempo y al apartarse el comportamiento de la tarea asignada, algo que un filtro de mensajes sueltos no ve.
Project Quarry lee la sesión completa del agente
Cisco describe Quarry como un lenguaje de reglas neurosimbólico. La palabra junta dos piezas: señales de modelos de aprendizaje automático y de jueces basados en modelos de lenguaje, útiles para juzgar si un resultado trae una inyección de instrucciones; y comprobaciones exactas, como una cadena de texto, un comando inseguro o el orden entre dos llamadas a herramientas. Una regla define qué datos mirar, cómo combinar las señales y qué cuenta como coincidencia.
El alcance cubre conversaciones de un turno y de varios turnos, uso de herramientas, interacciones del Protocolo de Contexto de Modelo (MCP, por sus siglas en inglés) y entradas multimodales. El reconocimiento óptico de caracteres y los modelos de visión aportan señales sobre imágenes: una instrucción escondida dentro de una imagen puede desviar a un agente sin dejar texto sospechoso.
Cuando una regla coincide, Quarry devuelve la evidencia: los pasos que provocaron el hallazgo, el campo exacto de la coincidencia y un fragmento breve, con los formatos de secreto más comunes tapados. El producto que recibe ese aviso decide la respuesta: alertar, bloquear, censurar el dato, poner el paso en cuarentena o dejarlo registrado.
Un ejemplo de Cisco lo deja claro. El 10 de julio, un agente reconstruyó, validó y compartió 14 credenciales de Hugging Face expuestas en público y con permiso de escritura; otro las usó después para ejecutar código en los servidores de la empresa. Vista por partes, cada acción parece trabajo técnico normal. Vista en orden, es el patrón clásico de robo de datos.
Qué trae el paquete abierto y cómo se adopta
El proyecto abierto incluye un lenguaje de reglas legible, un motor de evaluación que compila cada regla al cargarla, un escáner de línea de comandos para trazas sueltas y conjuntos de datos, y un paquete de desarrollo en Python. Suma metadatos, ejemplos, documentación y un flujo para validar reglas contra datos positivos y datos limpios. El repositorio vive en GitHub, dentro de la cuenta de defensa de IA de Cisco.
Un complemento permite que agentes de programación como Claude Code o Codex redacten reglas desde una descripción del riesgo en lenguaje llano y las prueben contra conversaciones reales. Cisco recomienda que una persona revise y apruebe cada regla antes de aplicarla, porque una regla escrita por un agente puede heredar los huecos de entendimiento de ese mismo agente. Automatizar al vigilante sin revisarlo repite el problema original.
La adopción propuesta va en tres movimientos. Primero, trabajar con las trazas que ya se guardan: Quarry lee registros en el formato de conversación de OpenAI. Después, afinar antes de bloquear, con excepciones para conductas autorizadas. Al final, pasar al tiempo real, llamando al motor desde la aplicación para frenar el paso cuando ocurre.
Lo que Quarry no hizo todavía en el caso Hugging Face
Hay un límite que Cisco declara sin rodeos: la empresa no ejecutó Quarry contra los datos del incidente. La lectura de ese caso como traza, con cinco puntos donde una regla habría tenido evidencia para actuar entre el 12 de mayo y el 19 de julio, es un ejercicio contrafactual construido desde las cronologías publicadas por OpenAI y Hugging Face. No es un resultado medido.
Donde sí corre ya es en casa. Cisco afirma que Quarry trabaja en producción dentro de AI Defense, su plataforma de seguridad para IA, y que planea llevarlo a DefenseClaw, su capa abierta de gobierno para agentes, con los hallazgos enviados a Splunk. SecurityWeek, al cubrir el lanzamiento el 29 de octubre, lo encuadró en la familia de lenguajes compartidos que Snort aportó al tráfico de red, YARA al código dañino y Sigma a los registros. La comparación marca la ambición: que una detección escrita por un equipo sirva en otro sin reescribirla.
Para quien despliega agentes de IA en su empresa, la pregunta práctica cambia. Ya no basta con saber qué permisos tiene cada agente; toca preguntar si existe una traza completa de lo que vio, dijo e hizo, y si alguien puede revisarla con reglas propias. Un agente sin registro reconstruible deja a su dueño sin base para investigar cuando algo sale mal.
Fuente: Cisco
