Tras instalar KB5121003 en Windows 11, algunos equipos muestran un aviso de que la protección antivirus está desactivada que no es real: Microsoft Defender sigue protegiendo en segundo plano. Todo apunta a un fallo de la interfaz de Seguridad de Windows relacionado con este parche de agosto. En esta guía te explico por qué aparece y cómo quitarlo.
Este no es el único problema que está afectando a la actualización KB5121003. El parche también está provocando cierres inesperados en juegos, algo que ya cubrí aparte (cómo solucionar los cierres de juegos por KB5121003).
Cómo saber si es el falso aviso
Abre Seguridad de Windows desde el aviso o desde el menú Inicio. Si el panel de Protección antivirus y contra amenazas aparece en verde, con la protección en tiempo real activada y las definiciones al día, estás ante el falso positivo.
La contradicción es la pista: la notificación avisa que no hay antivirus y el panel dice que todo está bien. Cuando eso pasa, el que falla es el mensaje, no Defender.
Si quieres confirmarlo, abre PowerShell como administrador (botón derecho sobre él en Inicio, Ejecutar como administrador) y pega esto:
Get-MpComputerStatus | select AMRunningMode, RealTimeProtectionEnabled
Si en la ventana aparecen los estados Normal y True, tu antivirus está funcionando: AMRunningMode en Normal significa que Defender está activo como antivirus principal, y RealTimeProtectionEnabled en True que la protección en tiempo real vigila el equipo.
Por qué salta el falso aviso
Quien informa del estado de Defender no es el propio antivirus. Es un servicio interno llamado Centro de seguridad de Windows (su nombre técnico es wscsvc), que lee si la protección está en marcha y lo muestra en el panel.
Al arrancar el equipo, wscsvc a veces no lee bien el estado de Defender a tiempo. No obtiene respuesta clara, asume lo peor y lanza el aviso.
Hay una causa concreta relacionada con el fallo en parte de los equipos, y tiene que ver con el canal de actualizaciones de Defender. En algunos casos queda inscrito por error en su canal Beta y carga un proceso experimental llamado DefenderAiPlatformHost.
Donde aparece ese proceso, parece estar detrás del fallo de detección del estado, según los reportes de la comunidad de Windows (hilo técnico en ElevenForum).
No vale para todos los casos. El aviso también se ha visto en equipos que no estaban en ese canal. Pero si ves DefenderAiPlatformHost en tu Administrador de tareas, tienes una pista sólida de por dónde va tu problema.
Otro detalle lo confirma como fallo de arranque. Varios afectados notan que la notificación aparece de forma bastante regular, unos cuatro minutos después de iniciar sesión, con Defender protegiendo sin interrupción.
Ese patrón tan repetido apunta a una comprobación que corre antes de que el sistema sepa que el antivirus está activo. Microsoft llegó a revisar el equipo de uno de los afectados y no encontró nada mal (hilo en Microsoft Community Hub).
Cómo quitar el falso aviso
Las soluciones van de la más sencilla a la más contundente. Prueba en orden y comprueba en que paso el aviso deje de volver tras reiniciar.
Reinicia el equipo
Es lo primero que hay que descartar. Un reinicio limpio obliga a wscsvc a volver a leer el estado desde cero, y en bastantes equipos el aviso no vuelve.
Usa Reiniciar, no Apagar y encender. El apagado con inicio rápido no cierra del todo los servicios y puede arrastrar el mismo estado defectuoso.
Reinicia los servicios de seguridad
Si el reinicio no basta, fuerza el reinicio de los servicios a mano. Pulsa Windows + R, escribe services.msc y pulsa Intro.
En la lista, busca Centro de seguridad (aparece como Security Center en algunos idiomas), botón derecho, Reiniciar. Repite con Security Health Service si lo encuentras.
Son los dos que leen y muestran el estado de Defender. Reiniciarlos les obliga a comprobar de nuevo la situación real, que a esas alturas ya es correcta.
Repara los archivos del sistema
Si sigue apareciendo, puede que el parche dejara algún archivo del sistema en mal estado. Abre PowerShell como administrador y ejecuta primero:
DISM /Online /Cleanup-Image /RestoreHealthCuando termine (tarda y parece quedarse parado en algún porcentaje, es normal), lanza el comprobador de archivos:
sfc /scannowDeja que llegue al 100% antes de cerrar y reinicia. Estos dos comandos reparan lo que la actualización pudo dejar dañado.
Restablece Seguridad de Windows
Si lo que falla es la propia ventana (se abre en blanco o no carga la sección de proveedores), restablece la aplicación. Abre Configuración, entra en Aplicaciones – Aplicaciones instaladas, busca Seguridad de Windows, pulsa los tres puntos, Opciones avanzadas y Restablecer.
Devuelve Defender al canal retail
Este procedimiento es específico para los equipos donde se ha detectado el problema del canal Beta de Defender. Si no encuentras DefenderAiPlatformHost en el Administrador de tareas, no necesitas tocar el registro y puedes saltarte este paso.
Y si lo has visto, hazlo con cuidado: un cambio equivocado en el registro afecta a otras partes del sistema. Te recomiendo que crees un punto de restauración o exporta la clave como copia de seguridad.
Después pulsa Windows + R, escribe regedit y pulsa Intro. Ve a HKEY_LOCAL_MACHINE – SOFTWARE – Microsoft – Windows Defender – MpEngine y exporta la clave desde ahí (botón derecho, Exportar) por si necesitas revertir.
Ya con la copia hecha, elimina los valores MpCampRing y MpEngineRing, que son los que mantienen a Defender en el canal experimental.
Tras borrarlos y recibir una nueva actualización de definiciones, el equipo debería volver a la configuración de canal predeterminada y el aviso desaparecer. Puedes forzar esa actualización desde el propio panel de Seguridad de Windows en lugar de esperar.
Cuándo el aviso sí es de verdad
Todo esto vale cuando Defender está activo y solo falla el aviso. Hay dos casos en los que el aviso es correcto y no debes ignorarlo.
Si tienes un antivirus de terceros (Avast, Bitdefender, Norton), Windows desactiva Defender a propósito para evitar conflictos. Ahí el mensaje es normal: comprueba que tu antivirus externo está activo y actualizado, y no toques nada.
Si el comando Get-MpComputerStatus no te devuelve Normal en AMRunningMode y marca False en RealTimeProtectionEnabled, conviene investigar antes de dar nada por hecho.
Puede haber otro antivirus registrado, una política del sistema o una configuración que expliquen el estado. Si tras revisarlo la protección sigue sin arrancar, toca plantearse una reparación de Windows o llevar el equipo a un técnico antes de quedarte sin protección real.
Preguntas frecuentes
¿El aviso significa que tengo un virus? No. Lo genera el propio Windows porque el servicio que informa del estado lee mal a Defender al arrancar. Confírmalo con Get-MpComputerStatus en PowerShell.
¿Desinstalo KB5121003 para quitarlo? No conviene. El parche corrige más de 400 vulnerabilidades, algunas ya explotadas. Reiniciar los servicios o restablecer la aplicación resuelve el aviso sin renunciar a la seguridad.
¿Por qué salta siempre unos minutos después de encender? Porque la comprobación del estado se ejecuta en segundo plano poco después del arranque, antes de que wscsvc haya terminado de sincronizarse con Defender. Varios usuarios lo sitúan alrededor del minuto 4.
Veo un proceso DefenderAiPlatformHost en el Administrador de tareas, ¿es peligroso? No. Es un proceso legítimo relacionado con Microsoft Defender. En los equipos afectados se ha vinculado su presencia con este fallo, sobre todo cuando Defender quedó inscrito en un canal Beta. Si lo ves junto al falso aviso, es una pista para probar la solución del canal retail.
Reinicié los servicios y volvió al día siguiente, ¿ahora qué? Repara con DISM y SFC, y si insiste, restablece Seguridad de Windows desde Configuración.
Microsoft no lo reconoce, ¿puedo hacer algo? El soporte pidió reportes desde el Centro de opiniones para confirmar el fallo. Abre el Centro de opiniones, describe el problema con tu número de compilación y el tiempo que tarda en aparecer el aviso. Cuantos más reportes, antes lo tratan como incidencia oficial.
