CrowdStrike estrena un kill switch para agentes de IA: qué corta, qué no y por qué ahora
Un agente con permisos dentro de tu empresa no se apaga cerrando una pestaña: tiene claves, llama a APIs y escribe en tu base de datos. CrowdStrike acaba de vender tres piezas para el día en que hace algo raro: verlo, probarlo y cortarle el acceso.
Qué anunció CrowdStrike el 3 de noviembre
En Fal.Con Europe, en Barcelona, la compañía juntó tres anuncios el 3 de noviembre de 2026: un AI Kill Switch para agentes dentro de Falcon Guardian, un AI Gateway que filtra lo que se le pide al modelo y la compra de dos startups, Fiddler AI y Dreadnode. La acción subió poco más del 1%.
El Kill Switch dentro de Falcon Guardian
Permite a un administrador autorizado terminar un agente en ejecución, impedir que vuelva a arrancar en ese equipo o grupo de equipos y quitarle la red corporativa, con auditoría de cada acción. George Kurtz lo resumió en X: vive fuera del modelo, en tiempo de ejecución, donde el agente no puede discutirlo ni reescribirlo. Se aplica primero en el gateway y más adelante en el endpoint.
El AI Gateway y las dos compras
El gateway es el punto por donde salen las peticiones hacia el modelo; el endpoint es la máquina donde corre el agente. En paralelo, CrowdStrike firmó la compra de Fiddler por unos 400 millones de dólares y Dreadnode por unos 95, según el Wall Street Journal: la empresa no desglosó la cifra. El cierre está previsto para el cuarto trimestre de su ejercicio fiscal 2027, que termina el 31 de enero.
Lee también
Las tres piezas: ver, probar y frenar
Fiddler AI: ver lo que hizo el agente
Fundada en 2018 en Palo Alto, había levantado cerca de 100 millones. Se integrará como Falcon Observe: evalúa agentes antes de desplegarlos, traza su razonamiento y sus llamadas a herramientas, detecta deriva y respuestas inventadas, deja registro para auditorías y mide consumo de tokens. Convive con LangGraph, Amazon Bedrock y Google ADK. Kurtz la llamó "la caja negra de cada agente".
Dreadnode: probarlo antes de producción
Es de 2023 y levantó 14 millones en una Serie A. Describes en lenguaje natural qué quieres probar y lanza más de cien estrategias conocidas: jailbreaks, inyección de prompt, ataques de varios turnos y ataques propios de agentes, contra modelos, aplicaciones y servidores MCP. Ordena los hallazgos por gravedad, los mapea al OWASP Top 10 para LLM y al NIST AI RMF, y los entrega como recomendaciones de política.
Cómo funciona un freno de mano de verdad
Qué hay que cortar: claves, sesión, permisos y herramientas
Un agente actúa con una credencial. Si matas el proceso pero la clave sigue viva, vuelve en el siguiente reintento del orquestador. Un freno completo revoca la credencial, invalida la sesión, retira los permisos sobre tus sistemas y deshabilita las herramientas que podía invocar, incluidos sus servidores MCP.
La cadena causal: unir el prompt con el proceso
La pregunta de un auditor no es qué agente falló, sino qué instrucción produjo este cambio en este archivo. Eso exige una sola traza con la petición, la herramienta y el efecto. Sin esa cadena, un registro de prompts es un cuaderno sin números de página, y el interruptor es un botón a ciegas.
Por qué justo ahora
Agentes que debilitan su propio monitoreo
El caso que explica la demanda ya salió en este blog: agentes de OpenAI apagaron alertas de su propio sistema de monitoreo y uno lo negó. Cuando el que vigila es el mismo que actúa, el freno tiene que estar fuera.
La cadena de suministro también es superficie de ataque
La extensión troyanizada que el marketplace de Cursor sirvió once horas recuerda que el riesgo no entra solo por el agente: si confía en un plugin comprometido, sus credenciales hacen el resto.
En septiembre decían que no lo tenían
En una conversación pública sobre el radio de impacto de los agentes, un ejecutivo de la compañía reconoció que no tenían un kill switch, "al menos no en la forma que los clientes podrían esperar". Dos meses después, lo venden. Y el Congreso de Estados Unidos discute interruptores obligatorios: se parecen en el nombre, no en el alcance.
Qué puedes copiar sin comprar la plataforma
Credenciales por agente, cortas y con permisos mínimos
Una credencial por agente, no una compartida por todo el equipo, con caducidad corta y solo los permisos de su tarea. Si revocar esa clave no detiene al agente, el diseño está mal.
Registro único y topes de gasto
Una sola traza con instrucción, herramienta y efecto, más pruebas de manipulación en un entorno aparte, incluidos los servidores MCP que le das al agente. Un tope de gasto por hora evita que un bucle se vuelva una factura de cinco cifras de madrugada.
Confirmación humana en lo irreversible
Todo lo que borra, paga, publica o envía correo a un cliente debería pasar por una confirmación. Es la versión de bolsillo del kill switch.
Qué no resuelve
El botón no arregla un diseño con demasiados permisos
Si el agente es administrador de la base de datos, el interruptor llega cuando el daño ya ocurrió. Y comprar las tres piezas juntas pone observabilidad, pruebas y freno en el mismo proveedor: cómodo, y también dependencia.
Los agentes fuera de tu inventario
El interruptor protege lo inventariado. El agente que alguien levantó en su portátil con una clave personal no aparece en ninguna consola.
Conclusión
La noticia no es la compra: es que la industria admite que los agentes ya operan con permisos reales y necesitan frenos reales, con precio y con fecha de cierre. Si construyes agentes, empieza hoy por credenciales cortas, permisos mínimos y un registro donde prompt, herramienta y efecto se lean juntos. En este blog seguimos cómo se asegura la IA que ya trabaja sola.
