Microsoft voegt Guardian Agents toe aan Project Perception om risico’s van AI-insiders te beperken

Microsoft maakte op 19 oktober 2026 nieuwe beveiligingsmogelijkheden bekend in Project Perception en Microsoft 365 E7. Daarmee worden AI-agents binnen bedrijven behandeld als potentiële insiderbedreigingen. De nieuwe mogelijkheden omvatten Guardian Agents, die de acties van agents continu bewaken, en beleidsregels die aanpassen wat elke agent mag doen wanneer het risico verandert.

Nadim Abdo, corporate vice president voor identiteit en netwerktoegang bij Microsoft, schreef dat AI-agents een steeds groter deel van het dagelijkse werk uitvoeren en vaak toegang nodig hebben tot bedrijfsgegevens, applicaties, tools en andere agents om nuttig te zijn. Diezelfde toegang brengt ook risico’s met zich mee, schreef hij: agents kunnen worden gemanipuleerd, fouten maken of worden gecompromitteerd, en ze kunnen continu op machinesnelheid werken.

Abdo zei dat Microsoft Project Perception uitbreidt. Het platform werd in juli 2026 geïntroduceerd met teams van rode, blauwe en groene agents om zich te verdedigen tegen AI-gestuurde aanvallen van buiten het bedrijf. Nu wordt het uitgebreid om de agents te beveiligen die binnen het bedrijf actief zijn. Project Perception en Microsoft Agent 365 delen signalen, context en een uniform register, zodat IT- en beveiligingsteams hetzelfde overzicht hebben van agents en de risico’s die ze met zich meebrengen. Microsoft beschrijft vier doorlopende taken van het systeem: weten welke agents er zijn, vooraf beperken waartoe elke agent toegang heeft en wat die kan doen, gegevens, tools en systemen beschermen die binnen het bereik van de agent liggen, en de beveiliging aanpassen wanneer gedrag, context en risico veranderen.

In een begeleidend bericht op The Official Microsoft Blog schreef Hayete Gallot, die zich bij Microsoft bezighoudt met identiteit, bescherming tegen bedreigingen, naleving en gegevensbeveiliging, dat bedrijven agents intern hebben ingezet en ze daardoor impliciet vertrouwden, hoewel die agents vaak te ruime bevoegdheden hebben en toegang tot gegevens, tools en systemen bezitten. Ze omschreef ze als “agentische insiders” en schreef dat ze alleen in goede banen kunnen worden geleid met Guardian Agents die elke actie van een agent dag en nacht bewaken en reguleren voordat die plaatsvindt. Dezelfde cyberbeveiligingsstack die aan Project Perception ten grondslag ligt, kan volgens haar ook naar binnen worden gericht om agents binnen het bedrijf te beheren en aan te sturen. Zo komen er op regels gebaseerde beperkingen rond modelintelligentie die zich niet voorspelbaar gedraagt.

Opsporing, identiteit en beheersing

Microsoft breidt de opsporing van agents uit met 35 extra typen lokale agents. Daarmee komt het totaal op 60 ondersteunde lokale agents, waaronder Claude Code, OpenAI Codex en GitHub Copilot. Organisaties kunnen deze agents, ongeacht hoe ze zijn opgespoord, opnemen in een uniform register om inzicht te krijgen in eigenaarschap, activiteit en risico.

Microsoft breidt Microsoft Entra Agent ID ook uit met identiteitstypen voor aanvullende agentpatronen, waaronder lokale en eerder onbekende agents die door beveiligingssensoren zijn opgespoord. Zo kan een agent een doelwit van beleidsregels worden, ook als die oorspronkelijk niet met Microsoft Security was geïntegreerd. Een volwaardige agentidentiteit vormt de basis voor toeschrijving, autorisatie, levenscyclus, eigenaarschap, machtigingen, beleid en risico, schreef Abdo. Zo kan het bedrijf onderscheid maken tussen wat iemand zelf heeft gedaan en wat een agent namens die persoon heeft gedaan.

Volgens Microsoft geven sandboxomgevingen zoals Microsoft Execution Container (MXC) agents beleidsmatig geregelde toegang tot de middelen die voor een taak nodig zijn. Ze vormen ook een handhavingsgrens waarbinnen beveiligingsmaatregelen buiten het bereik van de agent werken. Daardoor kan een gecompromitteerde agent of de bijbehorende uitvoeringsomgeving de maatregelen die toezicht houden niet uitschakelen. Agents mogen evenmin vrijelijk elke tool, API, Model Context Protocol-server, resource of andere agent aanroepen die ze kunnen vinden, schreef Abdo. Lokale, netwerk- en gegevensbeveiligingsmaatregelen moeten die toegangswegen beheren, de aanroepen observeren en het bedrijfsbeleid handhaven.

Met de nieuwe Dynamic Permissions krijgt een agent aanvankelijk geen bevoegdheden; alleen taakgebonden en tijdgebonden machtigingen worden toegekend. Het organisatiebrede beleid stelt de buitengrens vast en voorkomt onder meer dat een agent bevoegdheden verkrijgt waarover de gebruiker zelf niet beschikt. Voor acties met grotere gevolgen kan bovendien aantoonbare menselijke goedkeuring vereist zijn.

Dynamisch risico en Guardian Agents

Dynamic Agent Risk combineert signalen uit de eigen activiteiten van de agent met signalen over identiteit, gegevens, eindpunten, de cloud, het netwerk en de uitvoeringsomgeving. Daarbij worden de configuratie van de agent, de middelen waartoe die toegang heeft, de schade die een fout kan veroorzaken en eventuele afwijkingen tussen de acties van de agent en de bedoelingen van de gebruiker of organisatie meegewogen. Microsoft omschreef het resultaat als een voortdurend bijgewerkt inzicht in het actuele risico van een agent, dat laat zien of de bevoegdheden waarover die beschikt nog bij dat risico passen.

Dynamic Conditional Access breidt Microsoft Entra Conditional Access uit naar agents, zodat een verandering in het risico kan leiden tot gecoördineerde maatregelen op meerdere handhavingspunten. De reactie kent verschillende niveaus: een beleidsregel kan de leestoegang van een agent handhaven en tegelijk schrijfacties blokkeren, de gegevens en middelen beperken waartoe de agent toegang heeft, netwerkverbindingen beperken, tijdgebonden toegang verkorten of intrekken, machtigingen verlagen of aantoonbare menselijke goedkeuring vereisen voordat een ingrijpende stap wordt uitgevoerd. Bij de hoogste risiconiveaus kan het systeem de uitvoeringsomgeving van de agent isoleren of de uitvoering volledig stopzetten. Abdo gaf als voorbeeld een agent die onkosten goedkeurt en in een extern document een promptinjectie tegenkomt. Nieuw bewijs verhoogt dan de Dynamic Agent Risk, waarna het beleid de leestoegang handhaaft maar de mogelijkheid tot goedkeuren of schrijven wegneemt. Voor een stap met grote gevolgen is dan cryptografisch verifieerbare menselijke goedkeuring vereist.

Microsoft introduceert in Project Perception ook Playbooks en een team van Guardian Agents: mensen bepalen het beleid, de grenzen voor goedkeuring en de regels voor delegatie; Playbooks bepalen de gewenste beveiligingsuitkomst en coördineren beschermende maatregelen; en Guardian Agents voeren het werk op machinesnelheid uit. Terrell Cox, corporate vice president en plaatsvervangend chief information security officer voor klantbeveiliging bij Microsoft, zei dat Microsoft als Customer Zero al werkt in een wereld met honderdduizenden agents, en dat de lessen die daar zijn geleerd rechtstreeks van invloed zijn op de mogelijkheden die nu worden uitgerold.

Microsoft zei dat het chain-of-thought-signalen en andere signalen op modelniveau toevoegt aan Dynamic Agent Risk om intentieverschuivingen te helpen herkennen, op te sporen wanneer niet-vertrouwde informatie de redenering van een agent beïnvloedt en vast te stellen wanneer geplande acties afwijken van de toegewezen taak, terwijl de handhaving onafhankelijk blijft van het model. “Het meest betrouwbare agentische systeem zal niet het systeem zijn met het model dat we het meest vertrouwen”, schreef voorzitter en CEO Satya Nadella in opmerkingen waarnaar wordt verwezen in de aankondiging op de beveiligingsblog van Microsoft. “Het zal het systeem zijn dat zo is ontworpen dat we het model het minst hoeven te vertrouwen.”

Achtergrond over Microsoft 365 E7 en Agent 365

Op de beveiligingsblog van Microsoft wordt de aankondiging van 19 oktober beschreven als een aankondiging van nieuwe mogelijkheden in Microsoft 365 E7 en Project Perception. Microsoft lichtte het pakket toe in een blogbericht van maart 2026 op de beveiligingsblog. Microsoft 365 E7: The Frontier Suite werd op 1 mei 2026 algemeen beschikbaar voor een verkoopprijs van $99 per gebruiker per maand en omvat Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite en Microsoft 365 E5, met geavanceerde mogelijkheden van Defender, Entra, Intune en Purview. Microsoft Agent 365, de besturingslaag voor het observeren, beheren en beveiligen van agents binnen een organisatie, werd dezelfde dag algemeen beschikbaar voor $15 per gebruiker per maand.