Microsoft aggiunge Guardian Agents a Project Perception per contrastare il rischio interno legato all’IA

Il 19 ottobre 2026 Microsoft ha annunciato nuove funzionalità di sicurezza in Project Perception e Microsoft 365 E7 che trattano gli agenti IA aziendali come potenziali minacce interne, introducendo Guardian Agents che supervisionano costantemente le azioni degli agenti e controlli basati su criteri che adeguano ciò che ciascun agente può fare al variare del suo livello di rischio.

Nadim Abdo, vicepresidente aziendale per l’identità e l’accesso alla rete di Microsoft, ha scritto che gli agenti IA si stanno facendo carico di una quota crescente del lavoro quotidiano e spesso necessitano di accedere ai dati aziendali, alle applicazioni, agli strumenti e ad altri agenti per essere utili. Ha aggiunto che lo stesso accesso che rende utili gli agenti comporta anche un rischio interno: gli agenti possono essere manipolati, commettere errori o essere compromessi e possono operare senza interruzioni alla velocità delle macchine.

Abdo ha affermato che Microsoft sta estendendo Project Perception, presentato nel luglio 2026 con gruppi di agenti rossi, blu e verdi per difendersi dagli attacchi basati sull’IA provenienti dall’esterno dell’azienda, allo scopo di proteggere gli agenti che ora operano al suo interno. Project Perception e Microsoft Agent 365 condividono segnali, contesto e un registro unificato, così che i team IT e di sicurezza abbiano la stessa visione degli agenti e dei relativi rischi. Microsoft descrive quattro responsabilità continuative del sistema: sapere quali agenti esistono; contenere ciò a cui ciascun agente può accedere e ciò che può fare prima che agisca; proteggere dati, strumenti e sistemi che rientrano nel percorso dell’agente; e adeguare la protezione al variare del comportamento, del contesto e del rischio.

In un post complementare sul blog ufficiale di Microsoft, Hayete Gallot, le cui responsabilità in Microsoft comprendono identità, protezione dalle minacce, conformità e sicurezza dei dati, ha scritto che le aziende hanno introdotto agenti al proprio interno, finendo così per accordare loro implicitamente la propria fiducia, nonostante spesso dispongano di privilegi eccessivi e possano accedere a dati, strumenti e sistemi. Li ha definiti «insider agentici» e ha affermato che, per contenerli, serviranno Guardian Agents che supervisionino e moderino ogni azione degli agenti, 24 ore su 24 e prima che venga eseguita. Ha inoltre scritto che lo stesso stack di sicurezza informatica alla base di Project Perception può essere applicato anche all’interno dell’azienda per gestire e governare gli agenti che vi operano, affiancando all’intelligenza dei modelli, dal comportamento imprevedibile, controlli basati su regole.

Individuazione, identità e contenimento

Microsoft sta estendendo l’individuazione degli agenti ad altri 35 tipi di agenti locali, portando a 60 il totale degli agenti locali supportati, tra cui Claude Code, OpenAI Codex e GitHub Copilot. Le organizzazioni possono inserire questi agenti in un registro unificato, indipendentemente dal modo in cui sono stati individuati, per comprenderne la titolarità, l’attività e i rischi.

Microsoft sta inoltre ampliando Microsoft Entra Agent ID con tipologie di identità per ulteriori modelli di agenti, compresi quelli locali e quelli precedentemente sconosciuti, individuati tramite sensori di sicurezza. In questo modo, un agente può diventare un obiettivo delle politiche anche se non era stato integrato in origine con Microsoft Security. Abdo ha scritto che un’identità dell’agente di primo livello consente di attribuire le azioni e di definire autorizzazioni, ciclo di vita, titolarità, permessi, criteri e livello di rischio, permettendo all’azienda di distinguere ciò che ha fatto una persona da ciò che un agente ha fatto per suo conto.

Per il contenimento, Microsoft ha spiegato che ambienti sandbox come Microsoft Execution Container (MXC) offrono agli agenti un accesso alle risorse richieste da un’attività, controllato da criteri, e creano un perimetro di applicazione dei controlli che resta fuori dalla portata dell’agente. In questo modo, un agente o un ambiente di esecuzione compromesso non può disattivare i controlli che lo sorvegliano. Abdo ha scritto che gli agenti non dovrebbero nemmeno poter chiamare liberamente qualsiasi strumento, API, server Model Context Protocol, risorsa o altro agente che riescano a trovare: i controlli locali, di rete e sui dati devono gestire questi accessi, monitorare le chiamate e applicare i criteri aziendali.

Le nuove autorizzazioni dinamiche concedono inizialmente all’agente autorità nulla e gli assegnano solo permessi limitati all’attività e validi per un periodo definito. I criteri validi per l’intera organizzazione stabiliscono il limite massimo, impedendo anche a un agente di ottenere un’autorità che il suo utente non possiede; per le azioni con un impatto maggiore può essere richiesta l’approvazione verificata di una persona.

Rischio dinamico e Guardian Agents

Il rischio dinamico dell’agente combina i segnali ricavati dalla sua attività con quelli relativi a identità, dati, endpoint, cloud, rete e ambiente di esecuzione. Nel valutarlo, tiene conto della configurazione dell’agente, delle risorse a cui può accedere, dei danni che un malfunzionamento potrebbe causare e di eventuali scostamenti tra le sue azioni e le intenzioni dell’utente o dell’organizzazione. Microsoft ha descritto il risultato come una valutazione costantemente aggiornata del rischio attuale dell’agente, che mostra se l’autorità di cui dispone è ancora adeguata a tale rischio.

L’accesso condizionale dinamico estende agli agenti Microsoft Entra Conditional Access, così che una variazione del rischio possa attivare interventi coordinati attraverso più punti di applicazione dei controlli. La risposta è graduale: un criterio può mantenere l’accesso in lettura dell’agente bloccando al contempo le scritture; limitare i dati e le risorse a cui può accedere; restringere i percorsi di rete; ridurre la durata o revocare l’accesso a tempo; diminuire i permessi; oppure richiedere un’approvazione umana verificabile prima di procedere con un’azione rilevante. Ai livelli di rischio più elevati, il sistema può isolare l’ambiente di esecuzione dell’agente o interromperne del tutto l’esecuzione. Abdo ha fatto l’esempio di un agente che approva note spese e incontra un’iniezione di prompt in un documento esterno: nuove prove aumentano il suo rischio dinamico, e il criterio interviene mantenendo l’accesso in lettura ma revocando la possibilità di approvare o scrivere, mentre per un’azione ad alto impatto diventa necessaria un’approvazione umana verificabile crittograficamente.

Microsoft sta inoltre introducendo Playbooks e un team di Guardian Agents in Project Perception: le persone definiscono le policy, i limiti di approvazione e le regole di delega; Playbooks definisce il risultato di sicurezza desiderato e coordina le azioni di protezione; Guardian Agents svolgono il lavoro alla velocità delle macchine. Terrell Cox, vicepresidente aziendale di Microsoft e vice responsabile della sicurezza informatica per la sicurezza dei clienti, ha dichiarato che, nel ruolo di Customer Zero, Microsoft opera già in un mondo con centinaia di migliaia di agenti e che gli insegnamenti tratti da questa esperienza contribuiscono direttamente alle funzionalità che vengono ora rese disponibili.

Microsoft ha dichiarato che sta integrando il ragionamento a catena e altri segnali a livello di modello in Dynamic Agent Risk per contribuire a individuare la deriva dell’intento, rilevare quando informazioni non attendibili influenzano il ragionamento di un agente e identificare quando le azioni pianificate si discostano dall’attività assegnata, mantenendo al contempo l’applicazione delle regole indipendente dal modello. «Il sistema agentico più affidabile non sarà quello basato sul modello di cui ci fidiamo di più», ha scritto il presidente e amministratore delegato Satya Nadella in alcune dichiarazioni citate nell’annuncio sul blog sulla sicurezza di Microsoft. «Sarà quello progettato per consentirci di fidarci il meno possibile del modello».

Contesto su Microsoft 365 E7 e Agent 365

Il blog sulla sicurezza di Microsoft descrive l’annuncio del 19 ottobre come l’introduzione di nuove funzionalità in Microsoft 365 E7 e Project Perception. Microsoft ha illustrato il pacchetto in un articolo di marzo 2026 sul blog sulla sicurezza. Microsoft 365 E7: The Frontier Suite è diventato disponibile a livello generale il 1° maggio 2026, al prezzo di listino di 99 $ per utente al mese, e include Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite e Microsoft 365 E5 con funzionalità avanzate di Defender, Entra, Intune e Purview. Microsoft Agent 365, il piano di controllo per osservare, governare e proteggere gli agenti in tutta un’organizzazione, è diventato disponibile a livello generale lo stesso giorno, al prezzo di 15 $ per utente al mese.