Microsoft přidává do Project Perception ochranné agenty pro řešení rizik spojených s interními hrozbami v oblasti AI

Microsoft 19. října 2026 oznámil nové bezpečnostní funkce v Project Perception a Microsoft 365 E7, které považují podnikové agenty AI za potenciální interní hrozby. Představil ochranné agenty, kteří nepřetržitě dohlížejí na činnost agentů, a opatření založená na zásadách, jež upravují, co smí jednotliví agenti dělat v závislosti na změnách rizika.

Nadim Abdo, viceprezident Microsoftu pro identitu a síťový přístup, napsal, že agenti AI přebírají stále větší podíl každodenní práce a aby byli užiteční, často potřebují přístup k firemním datům, aplikacím, nástrojům a dalším agentům. Stejný přístup, díky kterému jsou agenti užiteční, však zároveň představuje riziko interní hrozby: agenty lze zmanipulovat, mohou chybovat nebo být napadeny a mohou pracovat nepřetržitě rychlostí stroje.

Abdo uvedl, že Microsoft rozšiřuje Project Perception, který byl představen v červenci 2026 a jehož týmy červených, modrých a zelených agentů měly bránit před útoky zvenčí podniku řízenými AI, aby zabezpečil agenty, kteří nyní pracují uvnitř podniku. Project Perception a Microsoft Agent 365 sdílejí signály, kontext a jednotný registr, takže IT a bezpečnostní týmy mají stejný přehled o agentech i rizicích, která představují. Microsoft popisuje čtyři průběžné úkoly systému: zjišťovat, kteří agenti existují; ještě před jejich činností omezovat, k čemu mají přístup a co mohou dělat; chránit data, nástroje a systémy, s nimiž agenti přicházejí do styku; a přizpůsobovat ochranu změnám chování, kontextu a rizik.

V souvisejícím příspěvku na blogu The Official Microsoft Blog napsala Hayete Gallot, jejíž působnost v Microsoftu zahrnuje identitu, ochranu před hrozbami, dodržování předpisů a zabezpečení dat, že podniky nasadily agenty interně, a tím jim implicitně důvěřují, přestože tito agenti mají často příliš široká oprávnění a přístup k datům, nástrojům i systémům. Označila je za „interní aktéry využívající agenty“ a uvedla, že k jejich omezení budou zapotřebí ochranní agenti, kteří nepřetržitě, ještě před uskutečněním každé akce, dohlížejí na činnost jednotlivých agentů a regulují ji. Stejnou sadu kybernetických nástrojů, na níž stojí Project Perception, lze podle ní využít i uvnitř podniku ke správě a řízení tamních agentů, a nastavit tak pravidla pro inteligenci modelů, jejichž chování není předvídatelné.

Vyhledávání, identita a omezení přístupu

Microsoft rozšiřuje vyhledávání agentů o 35 dalších typů lokálních agentů, čímž jejich celkový počet mezi podporovanými lokálními agenty vzroste na 60. Patří mezi ně Claude Code, OpenAI Codex a GitHub Copilot. Organizace mohou tyto agenty zařadit do jednotného registru bez ohledu na to, jak byli objeveni, a získat tak přehled o jejich vlastnictví, aktivitě a rizicích.

Microsoft také rozšiřuje Microsoft Entra Agent ID o typy identit pro další vzory agentů, včetně lokálních a dříve neznámých agentů odhalených bezpečnostními senzory. Agent se tak může stát cílem zásad, i když původně nebyl integrován se službou Microsoft Security. Abdo napsal, že identita agenta první třídy tvoří základ pro přiřazování činností, autorizaci, správu životního cyklu, vlastnictví, oprávnění, zásady a rizika. Podnik díky tomu může rozlišit, co udělal člověk a co agent jednající jeho jménem.

Pokud jde o omezení přístupu, Microsoft uvedl, že izolovaná prostředí, jako je Microsoft Execution Container (MXC), poskytují agentům přístup k prostředkům potřebným pro daný úkol v rozsahu vymezeném zásadami a vytvářejí hranici, za níž kontroly fungují mimo dosah agenta. Napadený agent nebo jeho řídicí prostředí proto nemohou vypnout kontroly, které nad nimi dohlížejí. Agenti by také neměli mít možnost libovolně volat jakýkoli nástroj, rozhraní API, server Model Context Protocol, prostředek ani jiného agenta, kterého najdou, napsal Abdo. Tyto cesty musí řídit místní, síťové a datové kontroly, které sledují volání a vynucují dodržování podnikových zásad.

Nová dynamická oprávnění začínají u agenta bez jakýchkoli oprávnění a udělují mu pouze oprávnění omezená na konkrétní úkol a dobu. Zásady platné v celé organizaci vymezují vnější hranici, mimo jiné tím, že agentovi brání získat oprávnění, která nemá jeho uživatel. U akcí s větším dopadem může být vyžadováno ověřené schválení člověkem.

Dynamické vyhodnocování rizik a ochranní agenti

Dynamické vyhodnocování rizik agentů kombinuje signály z jejich vlastní činnosti se signály týkajícími se identity, dat, koncových zařízení, cloudu, sítě a běhového prostředí. Zohledňuje konfiguraci agenta, prostředky, k nimž má přístup, škody, které by mohlo způsobit jeho selhání, i případný nesoulad mezi jeho činností a záměry uživatele nebo organizace. Microsoft výsledek popsal jako průběžně aktualizovaný přehled o aktuální míře rizika, kterou agent představuje, a o tom, zda rozsah jeho oprávnění tomuto riziku stále odpovídá.

Dynamický podmíněný přístup rozšiřuje Microsoft Entra Conditional Access pro agenty, takže změna míry rizika může vést ke koordinovaným zásahům na více kontrolních místech. Reakce se přizpůsobuje závažnosti situace: zásada může agentovi ponechat přístup pro čtení a zároveň mu zablokovat zápis, omezit data a prostředky, k nimž má přístup, omezit síťová spojení, zkrátit dobu platnosti časově omezeného přístupu nebo jej odebrat, snížit oprávnění či vyžadovat prokazatelné schválení člověkem, než bude možné provést závažný krok. Při nejvyšší míře rizika může systém izolovat běhové prostředí agenta nebo jeho činnost zcela zastavit. Abdo uvedl příklad agenta schvalujícího výdaje, který narazí na injektáž promptu v externím dokumentu: nové důkazy zvýší jeho dynamicky vyhodnocovanou míru rizika a zásady zareagují tak, že agentovi ponechají přístup pro čtení, ale odeberou mu možnost schvalovat nebo zapisovat. Pro závažný krok bude přitom vyžadováno kryptograficky ověřitelné schválení člověkem.

Microsoft v rámci Project Perception představuje také Playbooks a tým Guardian Agents: lidé definují zásady, hranice schvalování a pravidla delegování, Playbooks určují požadovaný bezpečnostní výsledek a koordinují ochranná opatření a Guardian Agents vykonávají práci strojovou rychlostí. Terrell Cox, podnikový viceprezident Microsoftu a zástupce ředitele pro bezpečnost informací odpovědný za zabezpečení zákazníků, uvedl, že Microsoft už jako Customer Zero působí ve světě se stovkami tisíc agentů a že poznatky získané touto zkušeností přímo ovlivňují právě zaváděné funkce.

Microsoft uvedl, že do funkce Dynamic Agent Risk začleňuje řetězec myšlenek a další signály na úrovni modelu, aby pomohl rozpoznat odchylky v záměru, zjistit, kdy uvažování agenta ovlivňují nedůvěryhodné informace, a odhalit, kdy se plánované akce odchylují od zadaného úkolu, přičemž vynucování pravidel zůstává nezávislé na modelu. „Nejdůvěryhodnějším agentním systémem nebude ten, jehož modelu důvěřujeme nejvíce,“ napsal předseda představenstva a generální ředitel Satya Nadella v poznámkách citovaných v oznámení na blogu Microsoft Security Blog. „Bude to ten, který je navržen tak, abychom mohli modelu důvěřovat co nejméně.“

Microsoft 365 E7 a Agent 365: základní informace

Microsoft na blogu Microsoft Security Blog popisuje oznámení z 19. října jako nové funkce v Microsoft 365 E7 a Project Perception. Microsoft podrobně představil tento balíček v příspěvku na blogu Microsoft Security Blog z března 2026. Microsoft 365 E7: The Frontier Suite se stal všeobecně dostupným 1. května 2026 za maloobchodní cenu 99 USD za uživatele měsíčně a zahrnuje Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite a Microsoft 365 E5 s pokročilými funkcemi Defender, Entra, Intune a Purview. Microsoft Agent 365, řídicí rovina pro sledování, správu a zabezpečení agentů v celé organizaci, se stal všeobecně dostupným téhož dne za cenu 15 USD za uživatele měsíčně.