Microsoft tilføjer Guardian Agents til Project Perception for at håndtere insidertrusler fra AI

Microsoft annoncerede den 19. oktober 2026 nye sikkerhedsfunktioner i Project Perception og Microsoft 365 E7, der betragter virksomheders AI-agenter som potentielle insidertrusler. Funktionerne omfatter Guardian Agents, der løbende overvåger agenternes handlinger, og politikstyring, der tilpasser, hvad den enkelte agent må gøre, når dens risikoniveau ændrer sig.

Nadim Abdo, corporate vice president for identitet og netværksadgang hos Microsoft, skrev, at AI-agenter varetager en stadig større del af det daglige arbejde og ofte har brug for adgang til virksomhedens data, applikationer, værktøjer og andre agenter for at være nyttige. Den samme adgang, der gør agenterne nyttige, skaber også en insider risiko, skrev han: Agenter kan manipuleres, begå fejl eller blive kompromitteret, og de kan køre kontinuerligt med maskinhastighed.

Abdo sagde, at Microsoft udvider Project Perception, der blev lanceret i juli 2026 med hold af røde, blå og grønne agenter, som skulle forsvare virksomheden mod AI-drevne angreb udefra, så løsningen også kan beskytte de agenter, der nu kører internt. Project Perception og Microsoft Agent 365 deler signaler, kontekst og et samlet register, så IT- og sikkerhedsteams har det samme overblik over agenterne og deres risiko. Microsoft beskriver fire løbende ansvarsområder for systemet: at holde styr på, hvilke agenter der findes; at begrænse, hvad hver agent kan tilgå og gøre, før den handler; at beskytte data, værktøjer og systemer på agentens vej; og at tilpasse beskyttelsen, når adfærd, kontekst og risiko ændrer sig.

I et ledsagende indlæg på The Official Microsoft Blog skrev Hayete Gallot, hvis ansvarsområde hos Microsoft omfatter identitet, trusselsbeskyttelse, regeloverholdelse og datasikkerhed, at virksomheder havde indført agenter internt og derfor implicit havde tillid til dem, selvom agenterne ofte har for vidtgående privilegier og adgang til data, værktøjer og systemer. Hun beskrev dem som »agentiske insidere« og skrev, at det kræver Guardian Agents at begrænse dem. Disse skal overvåge og moderere hver enkelt agenthandling døgnet rundt og inden den finder sted. Den samme cybersikkerhedsteknologiske platform, som ligger til grund for Project Perception, kan ifølge hende også vendes indad for at administrere og styre agenter, der arbejder internt i virksomheden, ved at sætte regelbaserede kontroller omkring modellernes intelligens, som ikke opfører sig forudsigeligt.

Opdagelse, identitet og begrænsning

Microsoft udvider agentopdagelsen til yderligere 35 typer lokale agenter, så det samlede antal understøttede lokale agenter bliver 60. De omfatter Claude Code, OpenAI Codex og GitHub Copilot. Organisationer kan føje disse agenter til et samlet register, uanset hvordan de blev opdaget, så de kan få overblik over ejerskab, aktivitet og risiko.

Microsoft udvider også Microsoft Entra Agent ID med identitetstyper til yderligere agentmønstre, herunder lokale og tidligere ukendte agenter, der opdages via sikkerhedssensorer. Dermed kan en agent blive omfattet af politikker, selvom den ikke oprindeligt blev integreret med Microsoft Security. Abdo skrev, at en førsteklasses agentidentitet danner grundlag for tilskrivning, autorisation, livscyklus, ejerskab, tilladelser, politik og risiko, så virksomheden kan skelne mellem det, en person gjorde, og det, en agent gjorde på personens vegne.

Microsoft sagde, at sandkasser som Microsoft Execution Container (MXC) giver agenter politikstyret adgang til de ressourcer, en opgave kræver, og skaber en håndhævelsesgrænse, hvor kontrolmekanismerne fungerer uden for agentens rækkevidde. Dermed kan en kompromitteret agent eller et kompromitteret agentrammeværk ikke deaktivere de kontroller, der overvåger den. Agenter bør heller ikke frit kunne kalde ethvert værktøj, API, Model Context Protocol-server, ressource eller anden agent, de kan finde, skrev Abdo. Lokale kontroller, netværkskontroller og datakontroller skal styre disse forbindelser, overvåge kald og håndhæve virksomhedens politikker.

De nye dynamiske tilladelser giver en agent ingen beføjelser fra starten og tildeler kun opgaveafgrænsede, tidsbegrænsede tilladelser. Politikker for hele organisationen sætter den overordnede grænse og forhindrer blandt andet, at en agent får beføjelser, som dens bruger ikke har. Handlinger med større konsekvenser kan kræve verificeret godkendelse fra et menneske.

Dynamisk risiko og Guardian Agents

Dynamic Agent Risk kombinerer signaler fra agentens egne aktiviteter med signaler om identitet, data, slutpunkter, cloud, netværk og køretid. Vurderingen tager højde for agentens konfiguration, de ressourcer, den har adgang til, den skade, en fejl kan forårsage, og enhver afvigelse mellem dens handlinger og brugerens eller organisationens hensigt. Microsoft beskrev resultatet som en løbende opdateret forståelse af agentens aktuelle risiko, der viser, om dens beføjelser stadig stemmer overens med risikoen.

Dynamic Conditional Access udvider Microsoft Entra Conditional Access til agenter, så ændringer i risiko kan udløse koordinerede handlinger på tværs af flere håndhævelsespunkter. Reaktionen tilpasses risikoniveauet: En politik kan bevare agentens læseadgang, samtidig med at skriveadgang blokeres, begrænse de data og ressourcer, agenten kan tilgå, begrænse netværksforbindelser, forkorte eller tilbagekalde tidsbegrænset adgang, reducere tilladelserne eller kræve dokumenterbar godkendelse fra et menneske, før et vigtigt trin gennemføres. Ved de højeste risikoniveauer kan systemet isolere agentens køretidsmiljø eller helt standse kørslen. Abdo nævnte som eksempel en agent, der godkender udgiftsbilag, og som møder en promptinjektion i et eksternt dokument: Nye oplysninger øger agentens Dynamic Agent Risk, og politikken reagerer ved at bevare læseadgangen, men fjerne muligheden for at godkende eller skrive. For et trin med store konsekvenser kræves der samtidig menneskelig godkendelse, som kan verificeres kryptografisk.

Microsoft introducerer også Playbooks og et team af Guardian Agents i Project Perception: Mennesker fastlægger politikker, grænser for godkendelse og regler for delegering, Playbooks definerer det ønskede sikkerhedsresultat og koordinerer beskyttende handlinger, og Guardian Agents udfører arbejdet med maskinhastighed. Terrell Cox, Microsofts koncerndirektør og vicechef for informationssikkerhed med ansvar for kundesikkerhed, sagde, at Microsoft som Customer Zero allerede arbejder i en verden med hundredtusindvis af agenter, og at erfaringerne herfra direkte indgår i de funktioner, der nu bliver leveret.

Microsoft sagde, at virksomheden indarbejder chain-of-thought og andre signaler på modelniveau i Dynamic Agent Risk for at hjælpe med at identificere afvigelser i intentionen, opdage, når ikke-betroede oplysninger påvirker en agents ræsonnement, og registrere, når planlagte handlinger afviger fra den tildelte opgave, samtidig med at håndhævelsen holdes uafhængig af modellen. »Det mest troværdige agentbaserede system vil ikke være det med den model, vi har størst tillid til,« skrev bestyrelsesformand og administrerende direktør Satya Nadella i bemærkninger, der blev citeret i meddelelsen på Microsofts Security Blog. »Det vil være det, der er udformet, så vi kan have mindst tillid til modellen.«

Baggrund om Microsoft 365 E7 og Agent 365

Microsofts Security Blog beskriver meddelelsen den 19. oktober som nye funktioner i Microsoft 365 E7 og Project Perception. Microsoft beskrev pakken nærmere i et indlæg fra marts 2026 på Security Blog. Microsoft 365 E7: The Frontier Suite blev almindeligt tilgængelig den 1. maj 2026 til en detailpris på 99 $ pr. bruger pr. måned og omfatter Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite og Microsoft 365 E5 med avancerede funktioner i Defender, Entra, Intune og Purview. Microsoft Agent 365, kontrolplanet til at observere, styre og sikre agenter på tværs af en organisation, blev almindeligt tilgængelig samme dag til en pris på 15 $ pr. bruger pr. måned.