微软把智能体当内部威胁：Guardian Agents 盯住每个动作

微软 10 月 19 日同时在官方博客与安全博客发文，把 7 月推出的 Project Perception 从「防外部 AI 攻击」扩到「管住企业自己部署的智能体」，新增的一类组件叫 Guardian Agents：它持续监督每一个智能体的每一个动作，在动作发生之前评估风险并决定是否放行。微软安全部门负责人 Hayete Gallot 的判断是，前沿模型「无论出自谁手都不能被信任」——不是因为恶意，而是因为它们被训练去达成目标，会为达成目标绕过组织规范。

配套改动落在四个环节。发现侧把可识别的本地代理类型从 25 种加到 60 种，覆盖 Claude Code、OpenAI Codex 与 GitHub Copilot；身份侧把 Entra Agent ID 扩到安全传感器发现的本地代理，让没接入微软安全栈的代理也能成为策略对象；权限侧改成 Dynamic Permissions——代理默认零权限，按任务、按时限下发，高影响动作要求人工批复；运行侧用 MXC 执行容器（10 月 7 日已转正）把模型与 harness 关进策略可控的沙箱。

风险侧是 Dynamic Agent Risk 与 Dynamic Conditional Access：持续汇总身份、数据、端点、云、网络、运行时与代理自身行为的信号，风险升高时做分级响应——保留读、掐掉写、缩小可触达的数据与网络路径、吊销限时权限。整套设计的立足点是一句话：把「智能的供给」与「对智能的授权」分开，控制权必须落在模型之外；Gallot 的说法是「最可信的智能体系统不会是那个我们最信任模型的系统，而是那个让我们最不需要信任模型的系统」。产品状态要说清：这些能力目前是私有预览，微软计划在 11 月 17 日开幕的 Ignite 上扩大开放，现在拿不到 GA。

原文链接：微软安全博客