3. Herramientas de control, auditoría y gobernanza
Existen varias herramientas open-source y frameworks que abordan la gobernanza de agentes desde distintos ángulos.
-
Microsoft Agent Governance Toolkit --> Toolkit open-source (6,440 estrellas en GitHub) que actúa como una capa de gobernanza entre el agente y los sistemas con los que interactúa. Asigna identidades verificables a los agentes, registra sus acciones en pistas de auditoría a prueba de manipulación, aplica principios de zero-trust en las comunicaciones entre agentes y ofrece sandboxing para aislar actividades y limitar el impacto de fallos . Es la opción más completa para entornos empresariales que necesitan control de identidad y aplicación de políticas antes de que el agente actúe.
-
Vaara --> Capa de gobernanza y evidencia para agentes de IA, diseñada específicamente para cumplir con la EU AI Act. Antes de que una acción se ejecute, Vaara puntúa su riesgo y decide si permitirla, bloquearla o escalarla a revisión humana. Cada decisión se escribe en una cadena de auditoría hash-chained (cualquier alteración a un registro pasado se detecta). Se integra con LangChain, CrewAI y OpenAI Agents SDK, y puede generar informes de evidencia mapeados a artículos de la EU AI Act .
-
AIR Blackbox --> "Plano de control de gobernanza de IA" con cuatro comandos principales: comply (análisis de brechas contra la EU AI Act escaneando el código), discover (inventario de "shadow AI" y generación de un AI-BOM en formato CycloneDX), replay (reconstrucción de incidentes desde la cadena de auditoría) y export (paquete de evidencia firmado para auditores). Cada llamada al LLM se registra con HMAC-SHA256, y los recibos se firman con Ed25519 para verificación de terceros .
-
AgentOps Replay --> Framework open-source (IEEE, 2026) que permite replay determinista de sesiones de agentes y monitoreo automatizado de cumplimiento. Detecta violaciones de costo, privacidad de datos y acceso de seguridad con una precisión del 94.2% y una sobrecarga de rendimiento menor al 3%. Su enfoque en la reconstrucción causal de eventos lo hace útil para investigar incidentes y demostrar qué hizo un agente y por qué .
-
Consideración práctica para elegir --> Si tu prioridad es cumplimiento normativo (EU AI Act), Vaara o AIR Blackbox son las más directas. Si necesitas control de identidad y políticas de zero-trust en una organización grande, Microsoft Agent Governance Toolkit es la más madura. Si tu foco es investigación de incidentes y replay determinista, AgentOps Replay ofrece esa capacidad específica.