Microsoft ergänzt Project Perception um Guardian Agents zum Schutz vor Insider-Risiken durch KI

Microsoft kündigte am 19. Oktober 2026 neue Sicherheitsfunktionen in Project Perception und Microsoft 365 E7 an. Sie behandeln KI-Agenten in Unternehmen als potenzielle Insider-Bedrohungen und führen Guardian Agents ein, die Aktionen der Agenten kontinuierlich überwachen, sowie Richtlinienkontrollen, die anpassen, was jeder Agent tun darf, wenn sich sein Risiko verändert.

Nadim Abdo, Corporate Vice President für Identität und Netzwerkzugriff bei Microsoft, schrieb, dass KI-Agenten einen wachsenden Anteil der täglichen Arbeit übernehmen und häufig Zugriff auf Unternehmensdaten, Anwendungen, Tools und andere Agenten benötigen, um nützlich zu sein. Genau derselbe Zugriff, der Agenten nützlich macht, birgt laut Abdo auch ein Insider-Risiko: Agenten können manipuliert werden, Fehler machen oder kompromittiert werden und ununterbrochen mit Maschinengeschwindigkeit laufen.

Abdo zufolge baut Microsoft Project Perception aus, das im Juli 2026 mit Teams aus roten, blauen und grünen Agenten eingeführt wurde, um sich gegen KI-gestützte Angriffe von außerhalb des Unternehmens zu verteidigen. Nun soll es auch die Agenten schützen, die innerhalb des Unternehmens laufen. Project Perception und Microsoft Agent 365 tauschen Signale und Kontext aus und nutzen ein einheitliches Register, damit IT- und Sicherheitsteams dasselbe Bild der Agenten und ihrer Risiken sehen. Microsoft beschreibt vier kontinuierliche Aufgaben des Systems: zu wissen, welche Agenten existieren; einzuschränken, worauf jeder Agent zugreifen und was er tun kann, bevor er aktiv wird; Daten, Tools und Systeme auf seinem Weg zu schützen; und den Schutz anzupassen, wenn sich Verhalten, Kontext und Risiko ändern.

In einem begleitenden Beitrag im The Official Microsoft Blog schrieb Hayete Gallot, deren Verantwortungsbereich bei Microsoft Identität, Bedrohungsschutz, Compliance und Datensicherheit umfasst, dass Unternehmen Agenten intern einsetzen und ihnen dadurch implizit vertrauen, obwohl diese häufig übermäßig weitreichende Berechtigungen haben und auf Daten, Tools und Systeme zugreifen können. Sie bezeichnete sie als „agentische Insider“ und erklärte, dass zu ihrer Eindämmung Guardian Agents nötig seien, die jede Aktion eines Agenten rund um die Uhr und noch vor ihrer Ausführung überwachen und moderieren. Derselbe Cyber-Sicherheitsstack, der Project Perception zugrunde liegt, könne laut Gallot auch nach innen gerichtet werden, um Agenten im Unternehmen zu verwalten und zu steuern. So ließen sich regelbasierte Kontrollen um die Intelligenz von Modellen legen, deren Verhalten nicht vorhersehbar ist.

Erkennung, Identität und Eindämmung

Microsoft erweitert die Erkennung von Agenten um 35 weitere Arten lokaler Agenten. Damit steigt die Gesamtzahl der unterstützten lokalen Agenten auf 60, darunter Claude Code, OpenAI Codex und GitHub Copilot. Unternehmen können diese Agenten unabhängig davon, wie sie erkannt wurden, in ein einheitliches Register aufnehmen, um Zuständigkeit, Aktivitäten und Risiken nachzuvollziehen.

Microsoft erweitert außerdem Microsoft Entra Agent ID um Identitätstypen für zusätzliche Agentenmuster, darunter lokale und bislang unbekannte Agenten, die durch Sicherheitssensoren erkannt wurden. Dadurch kann ein Agent zum Ziel einer Richtlinie werden, selbst wenn er ursprünglich nicht in Microsoft Security integriert war. Eine vollwertige Agentenidentität bildet die Grundlage für Zuordnung, Autorisierung, Lebenszyklus, Zuständigkeit, Berechtigungen, Richtlinien und Risikobewertung, schrieb Abdo. So kann das Unternehmen unterscheiden, was eine Person getan hat und was ein Agent in ihrem Auftrag getan hat.

Zur Eindämmung bieten Sandboxes wie Microsoft Execution Container (MXC) Agenten richtliniengesteuerten Zugriff auf die für eine Aufgabe erforderlichen Ressourcen. Zugleich schaffen sie eine Durchsetzungsgrenze, außerhalb der Reichweite des Agenten, sodass ein kompromittierter Agent oder ein kompromittiertes Laufzeit-Framework die Kontrollen, die ihn überwachen, nicht deaktivieren kann, erklärte Microsoft. Agenten sollten ebenso wenig beliebige Tools, APIs, Server des Model Context Protocol, Ressourcen oder andere Agenten aufrufen dürfen, die sie finden können, schrieb Abdo. Lokale Kontrollen sowie Netzwerk- und Datenkontrollen müssen diese Zugriffswege vermitteln, die Aufrufe beobachten und Unternehmensrichtlinien durchsetzen.

Neue dynamische Berechtigungen starten einen Agenten ohne Befugnisse und gewähren ihm nur aufgabenbezogene, zeitlich begrenzte Berechtigungen. Unternehmensweite Richtlinien legen die äußeren Grenzen fest und verhindern unter anderem, dass ein Agent Befugnisse erhält, über die sein Nutzer nicht verfügt. Für Aktionen mit größeren Auswirkungen kann eine verifizierte menschliche Genehmigung erforderlich sein.

Dynamische Risikobewertung und Guardian Agents

Die dynamische Risikobewertung von Agenten führt Signale aus den Aktivitäten des Agenten selbst mit Signalen zu Identität, Daten, Endgeräten, Cloud, Netzwerk und Laufzeitumgebung zusammen. Dabei berücksichtigt sie die Konfiguration des Agenten, die für ihn erreichbaren Ressourcen, den möglichen Schaden im Fall eines Fehlers und jede Abweichung zwischen seinen Aktionen und den Absichten des Nutzers oder der Organisation. Microsoft beschrieb das Ergebnis als eine fortlaufend aktualisierte Einschätzung des aktuellen Risikos eines Agenten, die zeigt, ob dessen Befugnisse weiterhin diesem Risiko entsprechen.

Der dynamische bedingte Zugriff erweitert Microsoft Entra Conditional Access für Agenten, sodass eine Risikoänderung koordinierte Maßnahmen an mehreren Durchsetzungspunkten auslösen kann. Die Reaktion erfolgt abgestuft: Eine Richtlinie kann dem Agenten den Lesezugriff belassen und zugleich Schreibzugriffe blockieren, die für ihn erreichbaren Daten und Ressourcen einschränken, Netzwerkpfade beschränken, zeitlich begrenzten Zugriff verkürzen oder widerrufen, Berechtigungen reduzieren oder eine nachweisbare menschliche Genehmigung verlangen, bevor ein folgenreicher Schritt ausgeführt wird. Bei den höchsten Risikostufen kann das System die Laufzeitumgebung des Agenten isolieren oder seine Ausführung vollständig stoppen. Abdo nannte als Beispiel einen Agenten zur Genehmigung von Spesenabrechnungen, der in einem externen Dokument auf eine Prompt-Injection stößt: Neue Erkenntnisse erhöhen seine dynamische Risikobewertung, und die Richtlinie reagiert, indem sie den Lesezugriff beibehält, ihm aber die Möglichkeit entzieht, Genehmigungen zu erteilen oder Daten zu schreiben. Für einen Schritt mit großen Auswirkungen ist dann eine kryptografisch verifizierbare menschliche Genehmigung erforderlich.

Microsoft führt in Project Perception außerdem Playbooks und ein Team von Guardian Agents ein: Menschen legen Richtlinien, Genehmigungsgrenzen und Delegierungsregeln fest, Playbooks definieren das gewünschte Sicherheitsergebnis und koordinieren Schutzmaßnahmen, und Guardian Agents setzen diese mit Maschinengeschwindigkeit um. Terrell Cox, Corporate Vice President und stellvertretender Chief Information Security Officer für Kundensicherheit bei Microsoft, sagte, Microsoft arbeite als Customer Zero bereits in einer Welt mit Hunderttausenden Agents und die dort gewonnenen Erkenntnisse flössen direkt in die nun bereitgestellten Funktionen ein.

Microsoft erklärte, dass Chain-of-Thought- und andere Signale auf Modellebene in Dynamic Agent Risk einfließen, um dabei zu helfen, eine Abweichung von der ursprünglichen Absicht zu erkennen, festzustellen, wenn nicht vertrauenswürdige Informationen die Schlussfolgerungen eines Agents beeinflussen, und zu erkennen, wenn geplante Aktionen von der zugewiesenen Aufgabe abweichen – während die Durchsetzung unabhängig vom Modell bleibt. „Das vertrauenswürdigste agentische System wird nicht das mit dem Modell sein, dem wir am meisten vertrauen“, schrieb Chairman und Chief Executive Officer Satya Nadella in Äußerungen, auf die in der Ankündigung im Security-Blog von Microsoft verwiesen wurde. „Es wird dasjenige sein, das so konzipiert ist, dass wir dem Modell am wenigsten vertrauen müssen.“

Hintergrundinformationen zu Microsoft 365 E7 und Agent 365

Im Security-Blog von Microsoft wird die Ankündigung vom 19. Oktober als Vorstellung neuer Funktionen in Microsoft 365 E7 und Project Perception beschrieben. Microsoft erläuterte das Paket in einem Security-Blogbeitrag vom März 2026. Microsoft 365 E7: The Frontier Suite wurde am 1. Mai 2026 allgemein verfügbar. Der Listenpreis beträgt 99 US-Dollar pro Nutzer und Monat. Das Paket umfasst Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite und Microsoft 365 E5 mit erweiterten Funktionen von Defender, Entra, Intune und Purview. Microsoft Agent 365, die Steuerungsebene zur Beobachtung, Verwaltung und Absicherung von Agents in einer Organisation, wurde am selben Tag allgemein verfügbar und kostet 15 US-Dollar pro Nutzer und Monat.