Microsoft dodaje agentów Guardian Agents do Project Perception, aby ograniczać ryzyko wewnętrzne związane z AI

19 października 2026 r. Microsoft ogłosił nowe funkcje bezpieczeństwa w Project Perception i Microsoft 365 E7, które traktują agentów AI działających w przedsiębiorstwach jako potencjalne zagrożenia wewnętrzne. Wprowadził agentów Guardian Agents, którzy nieprzerwanie nadzorują działania agentów, oraz mechanizmy kontroli zasad dostosowujące zakres dozwolonych działań każdego agenta do zmian poziomu ryzyka.

Nadim Abdo, wiceprezes ds. tożsamości i dostępu do sieci w Microsoft, napisał, że agenci AI przejmują coraz większą część codziennych zadań i często potrzebują dostępu do danych firmowych, aplikacji, narzędzi oraz innych agentów, aby być użyteczni. Jak dodał, ten sam dostęp, który czyni agentów użytecznymi, stwarza również ryzyko wewnętrzne: agentami można manipulować, mogą popełniać błędy lub zostać przejęci, a ich działanie może być ciągłe i przebiegać z szybkością maszyn.

Abdo powiedział, że Microsoft rozszerza Project Perception — przedstawiony w lipcu 2026 r. z zespołami czerwonych, niebieskich i zielonych agentów, które miały bronić przed atakami z zewnątrz przedsiębiorstwa wykorzystującymi AI — aby chronić agentów działających obecnie wewnątrz organizacji. Project Perception i Microsoft Agent 365 współdzielą sygnały, kontekst oraz ujednolicony rejestr, dzięki czemu zespoły IT i bezpieczeństwa mają taki sam obraz agentów i związanego z nimi ryzyka. Microsoft wskazuje cztery nieustanne zadania systemu: ustalanie, jakie agenty istnieją; ograniczanie, do czego każdy agent może uzyskać dostęp i co może zrobić, zanim podejmie działanie; ochronę danych, narzędzi i systemów na drodze agenta; oraz dostosowywanie zabezpieczeń do zmian w zachowaniu, kontekście i poziomie ryzyka.

W towarzyszącym artykule na The Official Microsoft Blog Hayete Gallot, której zakres odpowiedzialności w Microsoft obejmuje tożsamość, ochronę przed zagrożeniami, zgodność z przepisami i bezpieczeństwo danych, napisała, że przedsiębiorstwa wdrożyły agentów wewnętrznie, a tym samym obdarzyły ich niejako zaufaniem, mimo że agenci ci często mają zbyt szerokie uprawnienia i dostęp do danych, narzędzi oraz systemów. Określiła ich mianem „agentów działających jak zagrożenia wewnętrzne” i stwierdziła, że ich kontrolowanie będzie wymagało agentów Guardian Agents, którzy będą nadzorować i moderować każde działanie agenta przez całą dobę, zanim do niego dojdzie. Jak napisała, ten sam zestaw rozwiązań z zakresu cyberbezpieczeństwa, który stanowi podstawę Project Perception, można również skierować do wewnątrz, aby zarządzać agentami działającymi w przedsiębiorstwie i sprawować nad nimi kontrolę, obejmując inteligencję modeli, która nie działa w przewidywalny sposób, zabezpieczeniami opartymi na regułach.

Wykrywanie, tożsamość i ograniczanie dostępu

Microsoft rozszerza wykrywanie agentów o 35 kolejnych typów agentów lokalnych, zwiększając łączną liczbę obsługiwanych agentów lokalnych do 60. Należą do nich Claude Code, OpenAI Codex i GitHub Copilot. Organizacje mogą wprowadzać te agenty do ujednoliconego rejestru niezależnie od sposobu ich wykrycia, aby ustalić ich właścicieli, aktywność i poziom ryzyka.

Microsoft rozszerza również Microsoft Entra Agent ID o typy tożsamości obsługujące dodatkowe wzorce działania agentów, w tym agentów lokalnych i wcześniej nieznanych, wykrywanych przez czujniki bezpieczeństwa. Dzięki temu agent może stać się celem zasad nawet wtedy, gdy pierwotnie nie został zintegrowany z Microsoft Security. Abdo napisał, że pełnoprawna tożsamość agenta stanowi podstawę przypisywania działań, autoryzacji, zarządzania cyklem życia, własnością, uprawnieniami, zasadami i ryzykiem, co pozwala przedsiębiorstwu odróżnić działania wykonane przez daną osobę od działań agenta podjętych w jej imieniu.

Microsoft poinformował, że piaskownice, takie jak Microsoft Execution Container (MXC), zapewniają agentom kontrolowany zasadami dostęp do zasobów potrzebnych do wykonania zadania i tworzą granicę egzekwowania zabezpieczeń, poza zasięgiem agenta. Dzięki temu przejęty agent lub jego środowisko wykonawcze nie może wyłączyć nadzorujących go mechanizmów kontroli. Abdo napisał również, że agentom nie należy pozwalać na swobodne wywoływanie dowolnych narzędzi, interfejsów API, serwerów Model Context Protocol, zasobów ani innych agentów, które znajdą. Dostęp do tych elementów musi być kontrolowany przez zabezpieczenia lokalne, sieciowe i dotyczące danych, które monitorują wywołania i egzekwują zasady obowiązujące w przedsiębiorstwie.

Nowe uprawnienia dynamiczne sprawiają, że agent rozpoczyna pracę bez żadnych uprawnień, a następnie otrzymuje wyłącznie uprawnienia ograniczone do konkretnego zadania i czasu jego wykonania. Zasady obowiązujące w całej organizacji wyznaczają nadrzędne granice, w tym uniemożliwiają agentowi uzyskanie uprawnień, których nie ma jego użytkownik. Działania o większym znaczeniu mogą wymagać zweryfikowanej zgody człowieka.

Dynamiczna ocena ryzyka i agenci Guardian Agents

Dynamiczna ocena ryzyka agenta łączy sygnały dotyczące jego własnej aktywności z sygnałami związanymi z tożsamością, danymi, punktami końcowymi, chmurą, siecią i środowiskiem wykonawczym. Uwzględnia konfigurację agenta, zasoby, do których ma dostęp, szkody, jakie mogłaby spowodować awaria, oraz wszelkie rozbieżności między jego działaniami a intencjami użytkownika lub organizacji. Microsoft określił wynik jako stale aktualizowany obraz bieżącego ryzyka związanego z agentem, który pokazuje, czy przyznane mu uprawnienia nadal odpowiadają temu ryzyku.

Dynamiczny dostęp warunkowy rozszerza funkcję dostępu warunkowego Microsoft Entra dla agentów, tak aby zmiana poziomu ryzyka mogła wywołać skoordynowane działania w wielu punktach egzekwowania zasad. Reakcja jest stopniowana: zasady mogą pozostawić agentowi dostęp do odczytu, jednocześnie blokując zapis; ograniczyć zakres danych i zasobów, do których agent może sięgać; ograniczyć ścieżki sieciowe; skrócić czas dostępu ograniczonego czasowo lub go odebrać; zmniejszyć uprawnienia; albo wymagać możliwej do zweryfikowania zgody człowieka przed wykonaniem istotnego kroku. Przy najwyższym poziomie ryzyka system może odizolować środowisko wykonawcze agenta lub całkowicie zatrzymać jego działanie. Abdo podał przykład agenta zatwierdzającego wydatki, który napotyka w zewnętrznym dokumencie wstrzyknięcie polecenia: nowe dowody podnoszą poziom dynamicznego ryzyka agenta, a zasady reagują, pozostawiając mu dostęp do odczytu, ale odbierając możliwość zatwierdzania lub zapisu, przy czym wykonanie działania o dużym wpływie wymaga zgody człowieka możliwej do zweryfikowania kryptograficznie.

Microsoft wprowadza również Playbooks oraz zespół Guardian Agents w ramach Project Perception: ludzie określają zasady, granice wymagające zatwierdzenia i reguły delegowania, Playbooks wyznaczają oczekiwany rezultat w zakresie bezpieczeństwa i koordynują działania ochronne, a Guardian Agents wykonują zadania z szybkością maszyn. Terrell Cox, wiceprezes Microsoftu i zastępca dyrektora ds. bezpieczeństwa informacji odpowiedzialny za bezpieczeństwo klientów, powiedział, że Microsoft jako Customer Zero już działa w świecie, w którym funkcjonują setki tysięcy agentów, a zdobyte w tym zakresie doświadczenia bezpośrednio wpływają na możliwości, które są obecnie udostępniane.

Microsoft poinformował, że wprowadza sygnały dotyczące łańcucha rozumowania i inne sygnały na poziomie modelu do Dynamic Agent Risk, aby ułatwić identyfikowanie zmian intencji, wykrywanie sytuacji, w których niezaufane informacje wpływają na rozumowanie agenta, oraz rozpoznawanie przypadków, gdy planowane działania odbiegają od powierzonego zadania, przy jednoczesnym zachowaniu niezależności mechanizmów egzekwowania zasad od modelu. „Najbardziej godnym zaufania systemem agentowym nie będzie ten, którego modelowi ufamy najbardziej” — napisał prezes zarządu i dyrektor generalny Satya Nadella w wypowiedzi przytoczonej w ogłoszeniu na blogu Microsoftu poświęconym bezpieczeństwu. „Będzie nim system zaprojektowany tak, byśmy mogli w najmniejszym stopniu ufać modelowi”.

Informacje o Microsoft 365 E7 i Agent 365

Na blogu Microsoftu poświęconym bezpieczeństwu ogłoszenie z 19 października opisano jako wprowadzenie nowych możliwości w Microsoft 365 E7 i Project Perception. Microsoft szczegółowo przedstawił pakiet w wpisie na blogu poświęconym bezpieczeństwu z marca 2026 r. Microsoft 365 E7: The Frontier Suite stał się powszechnie dostępny 1 maja 2026 r. w cenie detalicznej 99 USD za użytkownika miesięcznie. Pakiet obejmuje Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite oraz Microsoft 365 E5 z zaawansowanymi funkcjami Defender, Entra, Intune i Purview. Microsoft Agent 365 — płaszczyzna sterowania służąca do obserwowania agentów w całej organizacji, zarządzania nimi i zapewniania im bezpieczeństwa — stał się powszechnie dostępny tego samego dnia w cenie 15 USD za użytkownika miesięcznie.