Asegurando agentes de IA con gVisor y microVMs en Kubernetes

El 26 de octubre de 2026, la Cloud Native Computing Foundation publicó un análisis técnico detallado sobre cómo asegurar agentes autónomos de IA dentro de entornos Kubernetes. El artículo detalla cómo kagent v1.0, combinado con la plataforma Agent Substrate, aborda brechas críticas en aislamiento, seguridad y escalabilidad para cargas de trabajo agénticas. Este enfoque va más allá de la contenedorización estándar para proporcionar una aplicación robusta de políticas y gestión de recursos para sistemas de IA de nivel producción.

Qué ocurrió

Los tiempos de ejecución de contenedores estándar a menudo proporcionan un aislamiento insuficiente para código no confiable. Aunque Docker y motores similares crean espacios de nombres separados, comparten el kernel del host, dejando posibles vías para escapes o movimiento lateral. En el contexto de los agentes de IA, que pueden ejecutar llamadas arbitrarias a herramientas, manejar credenciales sensibles o procesar salidas de modelos no confiables, este modelo de "sandbox" plano presenta riesgos significativos. El tráfico de entrada y salida suele estar ampliamente abierto, y sin políticas de red estrictas, un agente puede comunicarse con cualquier endpoint que elija.

Para abordar estas vulnerabilidades, el artículo de la CNCF introduce una arquitectura en capas centrada en kagent y Agent Substrate. Kagent sirve como entorno de tiempo de ejecución para agentes declarativos y BYO (bring-your-own), admitiendo frameworks como LangGraph y ADK. Agent Substrate actúa como la capa de infraestructura subyacente, proporcionando las capacidades necesarias de sandboxing. Juntos, aseguran que los agentes operen dentro de límites estrictamente definidos, minimizando el radio de impacto de cualquier posible compromiso y garantizando alta disponibilidad mediante multiplexación eficiente de recursos.

La solución propuesta requiere aislamiento tanto a nivel de hardware como de software. También exige la aplicación de políticas a nivel de AI Gateway para controlar el tráfico a medida que llega a su destino. Al implementar estos controles, los equipos de ingeniería pueden evitar que el código de agentes no confiable escape al entorno del host o comprometa la infraestructura subyacente. Esta configuración también permite la creación de instantáneas de estado, lo que habilita a los agentes a reanudar operaciones sin problemas tras interrupciones.

Cómo funciona

Agent Substrate logra el aislamiento ejecutando agentes en Workers, que son Pods de Kubernetes gestionados por un plano de control llamado ateapi. La innovación central radica en cómo estos Workers aíslan los procesos del agente. Para el aislamiento a nivel de software, el sistema utiliza gVisor. gVisor ejecuta la carga de trabajo en espacio de usuario mediante un kernel de aplicación dedicado llamado Sentry. Sentry intercepta y maneja las llamadas al sistema, impidiendo que el agente interactúe directamente con el kernel del host. Esto añade una frontera de seguridad robusta sin la sobrecarga de la virtualización completa.

Para el aislamiento a nivel de hardware, Agent Substrate emplea microVMs. Estas máquinas virtuales ligeras se ejecutan directamente sobre núcleos de CPU físicos utilizando extensiones de virtualización por hardware. Este enfoque asegura que, incluso si se viola la capa de aislamiento de software, el agente permanezca confinado dentro de un entorno de hardware virtualizado. La combinación de gVisor y microVMs proporciona defensa en profundidad, protegiendo tanto el kernel como el hardware físico de comportamiento malicioso o errático del agente.

Kagent simplifica la interacción con esta infraestructura compleja. Sin kagent, los desarrolladores tendrían que interactuar con Agent Substrate mediante llamadas programáticas de bajo nivel, como solicitudes curl a Actors específicos. Kagent proporciona una interfaz de usuario y opciones de configuración declarativa, permitiendo a los equipos gestionar agentes utilizando patrones familiares de Kubernetes. Abstrae la complejidad del Substrate subyacente, haciéndolo accesible para flujos de trabajo de desarrollo estándar mientras mantiene garantías de seguridad estrictas.

Detalles clave

• Capas de aislamiento: Agent Substrate usa gVisor para el aislamiento a nivel de software mediante el kernel de espacio de usuario Sentry y microVMs para el aislamiento a nivel de hardware sobre núcleos de CPU físicos.
• Gestión del tiempo de ejecución: Kagent v1.0 actúa como el runtime, soportando despliegue declarativo y agentes BYO de frameworks como LangGraph y ADK.
• Eficiencia de recursos: Los agentes se ejecutan como Actors que se inician solo durante sesiones activas y se detienen después, optimizando el uso de recursos de hardware en entornos multiinquilino.
• Gestión del estado: El sistema soporta instantáneas (snapshotting), permitiendo a los agentes guardar su estado y reanudar operaciones desde donde las dejaron.
• Modelo de despliegue: La instalación implica configurar kubectl-ate, instalar Agent Substrate y desplegar kagent vía Helm, lo que crea un WorkerPool predeterminado con dos Workers.
• Configuración: Los agentes se definen usando las Definiciones de Recursos Personalizados (CRDs) Harness y AgentTemplate, especificando rutas de imágenes, ubicaciones de instantáneas y plantillas permitidas.

Por qué importa

Para ingenieros de software y líderes técnicos, el cambio hacia flujos de trabajo agénticos introduce nuevos desafíos operacionales. Los microservicios tradicionales tienen entradas y salidas predecibles, pero los agentes de IA pueden generar código dinámico, realizar llamadas a APIs externas y acceder a datos sensibles basándose en prompts de lenguaje natural. Sin un aislamiento fuerte, un único agente comprometido podría potencialmente acceder a otros servicios en el clúster o exfiltrar datos. La arquitectura descrita por la CNCF proporciona un plan para mitigar estos riesgos sin sacrificar rendimiento ni velocidad de desarrollo.

Además, la capacidad de declarar configuraciones de agentes y gestionarlas a través de una UI se alinea con las prácticas modernas de DevOps. Los equipos pueden controlar versiones de sus definiciones de agentes, aplicar políticas consistentes entre entornos y monitorear eficazmente el uso de recursos. El modelo de actor basado en sesiones asegura que los costos permanezcan manejables, ya que los recursos solo se consumen cuando un agente está procesando activamente una solicitud. Esta eficiencia es crucial para escalar aplicaciones agénticas a miles de usuarios concurrentes.

Adoptar este nivel de seguridad también facilita el cumplimiento regulatorio. Al asegurar que el código del agente no pueda escapar de su sandbox y que todo el tráfico esté sujeto a la aplicación de políticas, las organizaciones pueden demostrar mejor el control sobre sus sistemas de IA. Esto es cada vez más importante a medida que los gobiernos y organismos industriales introducen directrices más estrictas para el despliegue de IA en sectores críticos.

Qué puedes hacer

• Configura un clúster local de Kubernetes usando Kind o Minikube para probar los pasos de instalación descritos en la guía de la CNCF.
• Instala kubectl-ate para habilitar la interacción por línea de comandos con el plano de control de Agent Substrate.
• Despliega kagent v1.0 vía Helm, asegurándote de que la configuración substrateWorkerPool.create esté habilitada para aprovisionar Workers predeterminados.
• Define un AgentTemplate y un Harness usando los ejemplos YAML proporcionados, reemplazando las rutas de imagen y ubicaciones de instantáneas de marcador de posición con tus propios valores.
• Usa la UI de kagent para crear nuevas plantillas de agentes y harnesses, verificando que los Actors se inicien solo durante sesiones activas.
• Revisa tus políticas de red actuales y considera cómo el aislamiento de gVisor y microVMs podría complementar las medidas de seguridad existentes para cargas de trabajo de IA.