微软把 AI Agent 当「内鬼」防：感知项目新增守护 Agent，可识别 60 类本地 Agent 并按任务发临时权限

先交代背景，不然容易误读成「微软说 Agent 是坏人」。10 月 19 日微软安全博客的标题是《Agents are your newest insiders. Security must move at their speed.》，开篇的定性很清楚：Agent 不是天生恶意，它们是「有能力、并且被用户授予了重要系统访问权的工具」，它们会犯错、会被操纵、会被攻破，模型输出会变化、上下文会变、计划会在执行中演化。所以问题不是 Agent 好坏，而是当它跑在机器速度上时，人来不及一个一个查。

核心设计原则被写成一句话：「用确定性控制包裹非确定性智能」。具体展开成四件持续发生的事，官方强调这不是四个产品也不是四个阶段，而是一个闭环：证据改变风险，风险改变策略，策略改变 Agent 被允许做什么。文章把纳德拉此前的表述也引了出来——必须把「智能的供给」和「对智能的授权」分开，不能让模型当自己的安全权威；决定它能访问什么、能执行什么、是否该继续运行的控制器，必须在模型外部，模型无法绕过或篡改。

第一个具体变化是「看得见」。微软称把本地 Agent 的发现能力扩展了 35 种，使受支持的本地 Agent 总数达到 60 种，名单里点名了 Claude Code、OpenAI Codex 和 GitHub Copilot——注意，这三家并不是微软自家产品。发现之后要有身份：Entra Agent ID 扩展到新的 Agent 形态，包括通过安全传感器发现的本地与「此前未知」的 Agent，这意味着一个从未与微软安全体系集成过的 Agent，也能成为策略作用对象。官方给的逻辑很直接：发现只能告诉你它存在，身份才能让治理系统有稳定的锚点，把「人做了什么」和「Agent 代这个人做了什么」分开。

第二个变化是权限模型，这是最实在的一条。官方说法是：Agent 不应该自动继承使用者的全部常驻权限，它应该「从零权限开始」，只拿到完成已批准任务所需的权限，并且只在这个任务需要的时长内有效。新推出的 Dynamic Permissions 由组织级策略设定外边界，其中一条硬规定是：不允许 Agent 获得其使用者本身都不具备的权限。权限可以按任务收窄、设时限、在任务变化或完成后收缩或收回；影响较大的动作可以要求经过验证的人工批准。原文那句总结很值得记住：「员工保留员工的访问权。Agent 拿到自己的身份、权限，以及只针对当前任务、只在任务期间的授权。」

第三个变化是「风险会变」这件事终于被当成一等公民。文章举的例子很具体：一个审批报销的 Agent 起初权限是对的，然后它在一份外部文档里撞上提示注入，配置没变，行为和风险变了。对人来说，从发现到响应慢一点还能接受；对跑在机器速度上的 Agent，这个延迟可能就是从「控制住了」到「已经出事」的差别。于是有了 Dynamic Agent Risk：把身份、数据、端点、云、网络、运行时以及 Agent 自身活动的信号合成一个持续更新的风险判断，官方特意强调这不是入职时打一次的分数，而是持续评估「它当前的授权是否还匹配它当前的风险」。

响应机制叫 Dynamic Conditional Access，关键在「分级」两个字。文章列出的动作从轻到重是：减少权限、保留读权限但阻断写操作、收窄可访问的数据与资源、限制网络路径、缩短或吊销有时限的访问、要求对高影响动作提供可加密验证的人工批准，最高风险级别则隔离运行时或直接终止执行。用那个报销 Agent 走一遍：遇到不可信内容并尝试无关操作后，策略可以保留它的读取能力、拿掉审批与写入能力、挡住敏感资源，同时对关键一步要求可验证的人工批准；风险继续上升才隔离或停机。官方特地说明，这不是把每次风险变化都当拉闸。

最后一块是人手不够的问题。官方给的数字很直接：微软自己作为「Customer Zero」已经运行在「数十万个 Agent」的规模上。到了这个量级，逐条人工分诊告警、逐个协调响应根本不可能，所以安全本身也得 Agent 化，但仍要待在人类划定的边界里：人定策略、定审批边界、定委托规则；Playbooks 定义期望的安全结果并协调保护动作；Guardian Agents 以机器速度执行，能解释风险为什么变了、调查相关证据、建议或执行隔离，并把学到的东西反哺策略。文章同时给了微软安全部门企业副总裁兼副 CISO Terrell Cox 的一段话，核心意思是人类保留目标与重大决策的控制权，系统承担那些人力扩不出来的持续工作。

还有一个容易被忽略的细节：模型内部信号被正式纳入安全证据。官方说，随着模型透明度提高，思维链等模型层面的信号可以用来识别意图漂移、判断不可信信息是否影响了推理、发现 Agent 计划中的动作是否偏离了给定任务，这些会一起进入 Dynamic Agent Risk。但原则没变：模型不能当自己的安全边界，必须有独立系统观察包括模型在内的每一层，并最终决定与强制执行「这个系统被允许做什么」。另外，微软提到 Project Perception 与 Microsoft Agent 365 共享信号、上下文和统一注册表，让 IT 与安全团队对 Agent 和风险有一致视图。

该说的边界。第一，这些能力不是今天全部可用：文中用了「正在扩展」「即将推出」这类表述，具体可用时间与许可要求要看各自的 learn 文档与产品页，本文不替微软给时间表。第二，60 种本地 Agent 的支持清单在 Microsoft Learn 的 AI agent support matrix 里，是否覆盖你用的工具要自己核。第三，文章里的「99%」「数十万」这类数字都是微软自述的运营经验，没有第三方审计。第四，这篇公告的产品定位是安全侧，它不解决 Agent 本身的可靠性问题——官方的原话是「目标不是让每个模型在被使用前都变得完全可预测，而是构建即使模型不可靠也依然安全的系统」。