Cisco Project Quarry pregunta qué hizo un agente a lo largo de toda la tarea

Un asistente lee un archivo. Después envía una petición web. Ambas acciones pueden estar permitidas, ser útiles y normales. La pregunta de seguridad es si la segunda llevó información de la primera a un lugar al que nunca debía llegar.

Cisco presentó Project Quarry el 28 de octubre de 2026 como lenguaje y motor abiertos de detección del comportamiento de agentes. En vez de comprobar solo mensajes aislados, permite describir patrones entre mensajes, llamadas, resultados y orden de eventos. Un hallazgo incluye evidencia para explicar qué actividad coincidió. Artículo de Cisco

Para llevar agentes a soporte, programación u operaciones, añade una herramienta concreta de seguridad. Esta guía explica su aportación, cómo empezar con ejemplos locales y por qué detectar una secuencia peligrosa es solo parte de controlarla. El entorno público está en alfa: el piloto debe contemplar cambios de reglas anteriores a 1.0.0. README, consultado el 2 de noviembre de 2026

Cortafuegos Cisco ASA 5510 en 2010; hardware histórico de seguridad de red. Quarry es software de comportamiento de agentes, no este dispositivo. Fotografía: Jon 'ShakataGaNai' Davis, CC BY-SA 3.0; redimensionada con márgenes. Fuente de la imagen · Licencia y notas de la imagen. Referencia oficial del producto.

Una secuencia explica lo que no explica un evento aislado

Imagina un agente interno que lee una base de conocimientos y abre incidencias externas. Ambas capacidades son legítimas. Una página no fiable le pide adjuntar un diagnóstico interno a una incidencia pública ajena. Buscar solo «ignora instrucciones anteriores» puede perder una indicación indirecta. Comprobar solo la herramienta de subida permitida puede perder por qué sus argumentos son inadecuados.

La secuencia aporta contexto. ¿Qué leyó? ¿Qué instrucción precedió al envío? ¿Qué datos aparecieron en argumentos? ¿Pertenecía el destino al encargo? Es más fácil investigarlo conservando intacta la traza estructurada.

Cisco presenta Quarry como combinación de comprobaciones exactas y juicios opcionales de modelos. Las exactas expresan nombres de herramientas, campos, cadenas y orden; las otras abordan interpretación. El producto anfitrión decide qué provocar, por ejemplo alertar o bloquear. Explicación de Cisco, 28 de octubre de 2026

Nuestra opinión: una buena regla es una pregunta reproducible sobre comportamiento. Debe poder señalarse la coincidencia y debatirse si expresa la política prevista. Sirve más que una advertencia roja cuya explicación sea que a un modelo no le gustó la conversación.

Secuencia sospechosa ilustrativa: Quarry evalúa la traza y devuelve evidencia; la aplicación integradora responde de la reacción.

Quarry acompaña autorización y comprobaciones de contenido

La autorización pregunta si un actor puede realizar una acción sobre un recurso. Un clasificador pregunta si una entrada o salida tiene una propiedad. Detectar trazas pregunta cómo se relacionan eventos. Se solapan, pero una demostración convincente no vuelve innecesarias las demás.

Cisco cita Snort, YARA y Sigma como precedentes de lenguajes legibles y compartibles para redes, malware y registros. Quarry aspira a llevar reglas inspeccionables a agentes. Motivación de Cisco La analogía orienta el diseño; no convierte un proyecto alfa joven en un ecosistema tan maduro.

Volvamos al archivo y envío. Una autorización fuerte impide leer lo prohibido antes de intervenir la regla. Un control de contenido identifica instrucciones sospechosas en resultados. Una regla conecta una lectura permitida con una transferencia inadecuada. Juntos cubren más que cualquiera solo.

Una alerta necesita evidencia suficiente para actuar

Un hallazgo basado en trazas permite un siguiente paso específico. El revisor necesita eventos, campo coincidente y contexto que modifica la interpretación. Se busca un caso explicable, no una lista creciente de puntuaciones sin explicación.

En soporte ilustrativo, un hallazgo conecta un documento interno con un envío posterior no aprobado. El analista pregunta si el encargo autorizaba transferir, si el destino pertenece al cliente y si realmente hay información protegida. Marcar cualquier lectura seguida de cualquier petición enterraría lo importante.

La precisión depende del vocabulario. «Externo» puede significar fuera de organización, entorno aprobado o un servicio. «Sensible» puede ser documento etiquetado, campo o clasificación. Define términos antes de escribir reglas dependientes.

La propia evidencia necesita protección. Puede contener el archivo o fragmento de credencial que creó el riesgo. Una alerta apropiada para un analista puede ser inadecuada en una página pública de error. Planifica acceso y ocultación con la regla, no después del incidente.

Tres procesos concretan el primer piloto

Un primer uso ilustrativo revisa retrospectivamente sesiones de soporte. Usa pocos datos autorizados con actividad normal y un ejemplo sintético de transferencia inadecuada. Ejecuta las mismas reglas. El piloto debe explicar tanto la coincidencia como por qué lo legítimo queda limpio.

Un segundo examina una condición de parada. Si se permiten tres intentos y después escalado, la traza muestra si se detuvo, continuó o cambió herramientas para perseguir indirectamente lo mismo. Es una pregunta útil aunque cada mensaje sea inocuo.

Un tercero apoya respuesta a incidentes. Al conocer otro patrón, se busca en trazas anteriores autorizadas. Aporta búsqueda más rápida y consistente. La respuesta sigue dependiendo de haber conservado campos y orden necesarios.

Empieza observando. Los hallazgos retrospectivos revelan falsos positivos sin interrumpir y estiman carga investigadora. Una regla convincente sobre una traza sintética puede ser demasiado amplia en la actividad diaria. Pasar a intervenir debe seguir a ese aprendizaje, con responsable claro.

Empieza con los ejemplos locales del repositorio

El repositorio público usa Apache 2.0 y ofrece Python y línea de comandos. El README indica Python 3.11 a 3.13 e inicio rápido con uv. La configuración selecciona 14 reglas locales; cuatro ejemplos semánticos usan sustitutos deterministas por palabras clave, expresamente para demostraciones y pruebas, no decisiones de producción. README de Project Quarry

El procedimiento sigue la preparación publicada. Es un comienzo para tu evaluación, no afirma haber desplegado ni escaneado tráfico real para este artículo.

1. Usa una carpeta aislada. Confirma versiones Python e instala uv por el proceso habitual. Separa evaluación, trazas y credenciales de producción.

2. Obtén y prepara el proyecto. Clona el repositorio oficial, entra y sincroniza el entorno fijado:

   BashEjecutar en Terminal

   git clone https://github.com/cisco-ai-defense/project-quarry.git
   cd project-quarry
   uv sync --frozen
   

3. Ejecuta el ejemplo benigno local. Usa la configuración antes de añadir proveedores o enviar conversaciones reales:

   BashEjecutar en Terminal

   uv run --frozen quarry scan --config examples/config.yaml --target examples/data/benign.json
   

4. Inspecciona una coincidencia. Cambia el destino a examples/data/tool_calls.json y examina regla y evidencia. Debe entenderse por eventos, no aceptarse por una advertencia impresa.

5. Añade un par específico. Crea una traza sintética infractora y otra legítima parecida con el mismo vocabulario. Define lo esperado antes de ajustar.

6. Registra revisión y tratamiento. La convención CLI es 0 para análisis completo limpio, 1 para completo con coincidencia y 2 para inválido o incompleto. Conserva las diferencias en cualquier envoltorio.

Salir distinto tiene consecuencias. Agotar recursos o recibir entrada inválida no cuenta como limpio. La supervisión debe mostrar evaluaciones incompletas para conocer carencias de cobertura.

Las reglas con modelos introducen otro límite de datos

Algunas políticas requieren interpretación imposible con coincidencia exacta. Un modelo puede evaluar si un resultado intenta desviar al agente o si una acción queda fuera de tarea. Añadirlo introduce latencia, coste, comportamiento del proveedor y otra fuente de error.

La documentación dice que una operación puede enviar mensajes seleccionados, definiciones de herramientas y política al destino configurado. Recomienda revisar conservación, registros, transporte y credenciales. Describe también plazos de análisis y presupuestos de llamadas, con adaptadores que deben respetar cancelación y tiempos agotados. Inferencia con modelos, consultada el 2 de noviembre de 2026

El recorrido de datos es una decisión de diseño. Empieza con comprobaciones locales y activa modelos cuando justifiquen procesar más. Antes de usar trazas sensibles, decide campos que cruzan y quién aprueba configuración. Un control no debería convertirse silenciosamente en una vía inesperada de exportación de lo que protege.

Los sustitutos por palabras clave sirven para ejemplos repetibles sin proveedor real. No demuestran exactitud de un detector semántico de producción. Evalúa el modelo configurado con casos etiquetados y relevantes, incluidos mensajes normales parecidos a riesgosos. Falsos positivos y omisiones pertenecen a la misma revisión.

Una integración real debe responsabilizarse del caso incompleto

La guía exige preparar y validar reglas antes de aceptar tráfico. Separa política y entradas de adaptadores de confianza de conversaciones no fiables y requiere estado autoritativo antes de actuar sobre coincidencias. Guía de integración, consultada el 2 de noviembre de 2026

Importa sobre todo al fallar. Conversación malformada, tiempo agotado, modelo ausente o regla inválida deben seguir política explícita. Puede pausarse una acción importante, pedir revisión o comunicar observación incompleta. Convertir todo error en «sin hallazgo» abre una carencia silenciosa.

Coincidencia completa, resultado limpio completo y evaluación incompleta significan cosas distintas. El anfitrión debe decidir cómo afectan al trabajo del usuario.

Los cambios de versión necesitan claridad igual. La advertencia alfa implica que otra sintaxis puede exigir actualizar reglas. Fija una revisión, conserva trazas representativas y reejecútalas antes de actualizar. Así distingues política cambiada de motor cambiado.

El anuncio habla de despliegue dentro de AI Defense, pero el motor público debe juzgarse por su estado documentado. Las integraciones previstas son futuras. Que un producto use un componente no proporciona automáticamente una integración de producción admitida para cualquier aplicación.

La seguridad de agentes necesita una pregunta revisitable

La mejor idea de Quarry es explicitar una preocupación conductual lo suficiente para ejecutarla otra vez. Se conservan regla, versión, actividad coincidente y razón del cambio. Hace más concreta la revisión que debatir si un agente parece seguro en general.

La siguiente pregunta práctica es si un revisor entiende por qué pasó una sesión legítima, por qué coincidió una infractora y qué ocurre cuando no termina. Si está claro, hay base para decidir dónde debe influir la detección sobre la acción.

Fuentes

• Cisco: presentación de Project Quarry, 28 de octubre de 2026.
• README de Project Quarry, consultado el 2 de noviembre de 2026.
• Guía de integración de Quarry, consultada el 2 de noviembre de 2026.
• Guía de inferencia de Quarry, consultada el 2 de noviembre de 2026. Los escenarios son ilustrativos; no se afirma instalación ni análisis de trazas de producción.

---

Mantén la regla vinculada a su evidencia

Telli.sh es una opción para conservar material autorizado, notas de evaluación y decisiones de un cambio de ingeniería. Crea un espacio de notas.