Microsoft legger til Guardian Agents i Project Perception for å håndtere innsiderrisiko knyttet til KI

Microsoft kunngjorde 19. oktober 2026 nye sikkerhetsfunksjoner i Project Perception og Microsoft 365 E7. Funksjonene behandler KI-agenter i virksomheter som potensielle innsidetrusler og introduserer Guardian Agents, som kontinuerlig overvåker agentenes handlinger, samt policykontroller som justerer hva hver agent har lov til å gjøre etter hvert som risikoen endrer seg.

Nadim Abdo, konserndirektør for identitet og nettverkstilgang i Microsoft, skrev at KI-agenter overtar en stadig større del av det daglige arbeidet, og at de ofte trenger tilgang til bedriftsdata, applikasjoner, verktøy og andre agenter for å være nyttige. Den samme tilgangen som gjør agentene nyttige, skaper også innsiderrisiko, skrev han: Agenter kan manipuleres, gjøre feil eller bli kompromittert, og de kan kjøre kontinuerlig i maskinhastighet.

Abdo sa at Microsoft utvider Project Perception, som ble introdusert i juli 2026 med grupper av røde, blå og grønne agenter som skulle forsvare virksomheter mot KI-drevne angrep utenfra, slik at løsningen også sikrer agentene som nå kjører internt. Project Perception og Microsoft Agent 365 deler signaler, kontekst og et felles register, slik at IT- og sikkerhetsteam får samme oversikt over agentene og risikoen knyttet til dem. Microsoft beskriver fire oppgaver systemet utfører kontinuerlig: å vite hvilke agenter som finnes, begrense hva hver agent har tilgang til og kan gjøre før den handler, beskytte data, verktøy og systemer som agenten kan komme i kontakt med, og tilpasse beskyttelsen etter hvert som atferd, kontekst og risiko endrer seg.

I et tilhørende innlegg på The Official Microsoft Blog skrev Hayete Gallot, som i Microsoft har ansvar for identitet, trusselbeskyttelse, etterlevelse og datasikkerhet, at virksomheter har tatt i bruk agenter internt og dermed gitt dem en implisitt tillit, selv om agentene ofte har for omfattende rettigheter og tilgang til data, verktøy og systemer. Hun beskrev dem som «agenter som innsidere» og sa at det vil kreve Guardian Agents å begrense dem. Disse agentene skal overvåke og moderere hver enkelt agenthandling døgnet rundt, før den finner sted. Det samme cybersikkerhetsrammeverket som ligger til grunn for Project Perception, skrev hun, kan også vendes innover for å administrere og styre agenter som opererer internt i virksomheten. Slik kan man etablere regelbaserte kontroller rundt modellintelligens som ikke oppfører seg forutsigbart.

Oppdagelse, identitet og begrensning

Microsoft utvider oppdagelsen av agenter til 35 nye typer lokale agenter, slik at det totale antallet støttede lokale agenter blir 60. Blant disse er Claude Code, OpenAI Codex og GitHub Copilot. Organisasjoner kan legge disse agentene inn i et felles register, uansett hvordan de ble oppdaget, for å få oversikt over eierskap, aktivitet og risiko.

Microsoft utvider også Microsoft Entra Agent ID med identitetstyper for flere agentmønstre, blant annet lokale og tidligere ukjente agenter som oppdages av sikkerhetssensorer. Dermed kan en agent bli et mål for policyer selv om den opprinnelig ikke var integrert med Microsoft Security. En egen agentidentitet forankrer attribusjon, autorisasjon, livssyklus, eierskap, tillatelser, policy og risiko, skrev Abdo. Dermed kan virksomheten skille mellom det en person har gjort, og det en agent har gjort på personens vegne.

Microsoft sa at sandkasser som Microsoft Execution Container (MXC) gir agenter policykontrollert tilgang til ressursene en oppgave krever, og oppretter en håndhevingsgrense der kontrollene fungerer utenfor agentens rekkevidde. Dermed kan ikke en kompromittert agent eller et kompromittert agentrammeverk deaktivere kontrollene som overvåker den. Agenter bør heller ikke fritt kunne kalle opp ethvert verktøy, API, Model Context Protocol-server, ressurs eller annen agent de finner, skrev Abdo. Lokale kontroller, nettverkskontroller og datakontroller må styre disse tilgangsveiene, overvåke kallene og håndheve virksomhetens policy.

De nye Dynamic Permissions gir en agent ingen myndighet i utgangspunktet og tildeler bare oppgavespesifikke tillatelser som er begrenset i tid. Policyen som gjelder for hele organisasjonen, setter den ytre grensen. Den hindrer blant annet en agent i å få myndighet som brukeren selv ikke har, og handlinger med større konsekvenser kan kreve bekreftelse fra et menneske.

Dynamisk risiko og Guardian Agents

Dynamic Agent Risk kombinerer signaler fra agentens egen aktivitet med signaler om identitet, data, endepunkter, sky, nettverk og kjøretid. Risikovurderingen tar hensyn til agentens konfigurasjon, ressursene den har tilgang til, skaden en feil kan føre til, og eventuelle avvik mellom agentens handlinger og brukerens eller organisasjonens hensikt. Microsoft beskrev resultatet som en kontinuerlig oppdatert vurdering av agentens aktuelle risiko, som viser om myndigheten den har, fortsatt står i forhold til risikoen.

Dynamic Conditional Access utvider Microsoft Entra Conditional Access for agenter, slik at en risikoendring kan utløse samordnede tiltak på flere håndhevingspunkter. Tiltakene trappes opp etter behov: En policy kan beholde agentens lesetilgang samtidig som skrivetilgang blokkeres, begrense dataene og ressursene agenten kan nå, begrense nettverkstilganger, forkorte eller tilbakekalle tidsbegrenset tilgang, redusere tillatelser eller kreve etterprøvbar godkjenning fra et menneske før et viktig trinn gjennomføres. Ved de høyeste risikonivåene kan systemet isolere agentens kjøretidsmiljø eller stanse kjøringen helt. Abdo viste til en agent som godkjenner utgifter, og som støter på en instruksjonsinjeksjon i et eksternt dokument: Nye opplysninger øker agentens Dynamic Agent Risk, og policyen reagerer ved å beholde lesetilgangen, men fjerne muligheten til å godkjenne eller skrive. For et trinn med store konsekvenser kreves det da godkjenning fra et menneske som kan verifiseres kryptografisk.

Microsoft introduserer også Playbooks og et team av Guardian Agents i Project Perception: mennesker definerer retningslinjer, godkjenningsgrenser og regler for delegering, Playbooks definerer ønsket sikkerhetsresultat og koordinerer beskyttende tiltak, og Guardian Agents utfører arbeidet i maskinhastighet. Terrell Cox, Microsofts konserndirektør og assisterende informasjonssikkerhetssjef for kundesikkerhet, sa at Microsoft som Customer Zero allerede opererer i en verden med hundretusener av agenter, og at erfaringene derfra gir direkte grunnlag for funksjonene som nå leveres.

Microsoft sa at selskapet tar i bruk resonnementssignaler fra modellen, blant annet fra modellens resonneringskjede, i Dynamic Agent Risk for å bidra til å avdekke når intensjonen endrer seg, oppdage når ikke-betrodd informasjon påvirker en agents resonnement, og finne ut når planlagte handlinger avviker fra den tildelte oppgaven, samtidig som håndhevingen holdes uavhengig av modellen. «Det mest pålitelige agentbaserte systemet vil ikke være det med modellen vi stoler mest på», skrev styreleder og administrerende direktør Satya Nadella i uttalelser gjengitt i kunngjøringen på Microsofts sikkerhetsblogg. «Det vil være systemet som er utformet slik at vi kan stole minst på modellen.»

Bakgrunn om Microsoft 365 E7 og Agent 365

Microsofts sikkerhetsblogg beskriver kunngjøringen 19. oktober som nye funksjoner i Microsoft 365 E7 og Project Perception. Microsoft beskrev pakken nærmere i et innlegg på sikkerhetsbloggen fra mars 2026. Microsoft 365 E7: The Frontier Suite ble allment tilgjengelig 1. mai 2026 til en veiledende pris på 99 dollar per bruker per måned, og omfatter Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite og Microsoft 365 E5 med avanserte funksjoner fra Defender, Entra, Intune og Purview. Microsoft Agent 365, kontrollplanet for å observere, styre og sikre agenter på tvers av en organisasjon, ble allment tilgjengelig samme dag til en pris på 15 dollar per bruker per måned.