Microsoft добавляет в Project Perception Guardian Agents для защиты от внутренних угроз, связанных с ИИ

19 октября 2026 года Microsoft объявила о новых возможностях безопасности в Project Perception и Microsoft 365 E7. Они позволяют рассматривать корпоративных ИИ-агентов как потенциальную внутреннюю угрозу. Компания представила Guardian Agents, которые непрерывно контролируют действия агентов, а также политики, изменяющие допустимые действия каждого агента в зависимости от уровня его риска.

Надим Абдо, корпоративный вице-президент Microsoft по вопросам идентификации и сетевого доступа, написал, что ИИ-агенты берут на себя всё большую часть повседневной работы и для эффективной работы часто нуждаются в доступе к корпоративным данным, приложениям, инструментам и другим агентам. По его словам, тот же доступ, который делает агентов полезными, создает и внутреннюю угрозу: агентов можно ввести в заблуждение, они могут допускать ошибки или подвергаться компрометации, а также работать непрерывно, с машинной скоростью.

Абдо сообщил, что Microsoft расширяет Project Perception, представленный в июле 2026 года и включавший команды красных, синих и зеленых агентов для защиты от атак на предприятия извне с применением ИИ, чтобы обеспечить безопасность агентов, работающих теперь внутри компаний. Project Perception и Microsoft Agent 365 обмениваются сигналами и контекстом и используют единый реестр, благодаря чему ИТ-специалисты и команды безопасности видят одну и ту же картину агентов и связанных с ними рисков. Microsoft выделяет четыре непрерывные задачи этой системы: определять, какие агенты существуют; до начала их работы ограничивать доступ каждого агента и круг доступных ему действий; защищать данные, инструменты и системы на пути агента; адаптировать защиту по мере изменения поведения, контекста и уровня риска.

В сопутствующей публикации в The Official Microsoft Blog Хайете Галлот, в сферу ответственности которой в Microsoft входят управление идентификацией, защита от угроз, соответствие требованиям и безопасность данных, написала, что компании развернули агентов внутри своих систем и тем самым неявно выразили им доверие, хотя у таких агентов нередко чрезмерно широкие привилегии и доступ к данным, инструментам и системам. Она назвала их «агентами-инсайдерами» и отметила, что для их сдерживания потребуются Guardian Agents, которые круглосуточно контролируют и модерируют каждое действие агента до его выполнения. По ее словам, тот же комплекс средств кибербезопасности, на котором основан Project Perception, можно использовать и внутри предприятия для управления агентами и контроля над ними, окружив основанные на правилах механизмы контроля модельным интеллектом, поведение которого непредсказуемо.

Обнаружение, идентификация и сдерживание

Microsoft расширяет возможности обнаружения агентов еще на 35 типов локальных агентов, доводя общее число поддерживаемых локальных агентов до 60. Среди них — Claude Code, OpenAI Codex и GitHub Copilot. Организации могут добавлять этих агентов в единый реестр независимо от способа их обнаружения, чтобы отслеживать, кто за них отвечает, чем они занимаются и какие риски несут.

Microsoft также расширяет Microsoft Entra Agent ID, добавляя типы идентификации для новых категорий агентов, в том числе локальных и ранее неизвестных агентов, обнаруженных средствами мониторинга безопасности. Благодаря этому агент может стать объектом политики, даже если изначально он не был интегрирован с Microsoft Security. Абдо написал, что полноценная идентификация агента служит основой для установления авторства действий, авторизации, управления жизненным циклом, ответственностью, разрешениями, политиками и рисками. Это позволяет предприятию отличать действия человека от действий агента, совершенных от его имени.

По словам Microsoft, для сдерживания агентов можно использовать изолированные среды, такие как Microsoft Execution Container (MXC): они предоставляют агентам контролируемый политиками доступ к ресурсам, необходимым для выполнения задачи, и создают границу контроля, за пределы которой агент не может воздействовать на механизмы защиты. Поэтому скомпрометированный агент или среда его выполнения не сможет отключить средства, которые за ним следят. Абдо также написал, что агенты не должны иметь возможность беспрепятственно вызывать любые обнаруженные ими инструменты, API, серверы Model Context Protocol, ресурсы или другие агенты. Эти каналы должны контролироваться средствами защиты на локальном уровне, в сети и при работе с данными; такие средства должны отслеживать вызовы и обеспечивать соблюдение корпоративных политик.

Новые динамические разрешения изначально не предоставляют агенту никаких полномочий и выдают только разрешения, ограниченные конкретной задачей и сроком действия. Политика организации устанавливает внешние границы, в том числе запрещает агенту получать полномочия, которых нет у пользователя. Для действий с более серьезными последствиями может потребоваться подтвержденное одобрение человека.

Динамическая оценка риска и Guardian Agents

При расчете динамического риска агента учитываются сигналы о его собственных действиях, а также сигналы, связанные с идентификацией, данными, конечными устройствами, облачной средой, сетью и средой выполнения. Система оценивает конфигурацию агента, доступные ему ресурсы, возможный ущерб в случае сбоя и любые отклонения его действий от намерений пользователя или организации. Microsoft описала результат как непрерывно обновляемую оценку текущего риска агента, которая показывает, по-прежнему ли соответствуют предоставленные ему полномочия этому уровню риска.

Динамический условный доступ расширяет Microsoft Entra Conditional Access для агентов: изменение уровня риска позволяет согласованно принимать меры в нескольких точках контроля. Реакция зависит от степени риска: политика может сохранить агенту доступ на чтение, одновременно запретив запись; сузить круг данных и ресурсов, доступных агенту; ограничить сетевые маршруты; сократить срок действия или отозвать временный доступ; уменьшить объем разрешений либо потребовать проверяемого одобрения человека, прежде чем агент выполнит значимое действие. При самом высоком уровне риска система может изолировать среду выполнения агента или полностью остановить его работу. Абдо привел пример агента, утверждающего расходы: агент получает документ из внешнего источника с внедренной в запрос инструкцией, новые данные повышают динамический риск агента, и политика сохраняет доступ на чтение, но лишает его возможности утверждать расходы или записывать данные. Для действия с серьезными последствиями при этом требуется одобрение человека, подлинность которого можно проверить криптографическими средствами.

Microsoft также представляет Playbooks и команду Guardian Agents в Project Perception: люди определяют политики, границы одобрения и правила делегирования, Playbooks задают желаемый результат в области безопасности и координируют защитные действия, а Guardian Agents выполняют работу со скоростью машины. Террелл Кокс, корпоративный вице-президент Microsoft и заместитель директора по информационной безопасности, отвечающий за безопасность клиентов, заявил, что Microsoft уже работает в мире, где насчитываются сотни тысяч агентов, выступая в роли Customer Zero, и что полученные там уроки напрямую влияют на возможности, которые внедряются сейчас.

Microsoft сообщила, что добавляет в Dynamic Agent Risk цепочку рассуждений и другие сигналы на уровне модели, чтобы помогать выявлять отклонения в намерениях, замечать, когда недоверенная информация влияет на рассуждения агента, и обнаруживать, когда запланированные действия расходятся с поставленной задачей, сохраняя при этом независимость механизмов контроля от модели. «Самой заслуживающей доверия агентной системой будет не та, в которой мы больше всего доверяем модели, — написал председатель совета директоров и главный исполнительный директор Сатья Наделла в замечаниях, приведённых в объявлении в блоге Microsoft о безопасности. — Ею станет система, разработанная так, чтобы мы могли меньше всего доверять модели».

Общие сведения о Microsoft 365 E7 и Agent 365

В блоге Microsoft о безопасности объявление от 19 октября представлено как сообщение о новых возможностях Microsoft 365 E7 и Project Perception. Подробное описание пакета Microsoft опубликовала в публикации в блоге Microsoft о безопасности за март 2026 года. Microsoft 365 E7: The Frontier Suite стал общедоступен 1 мая 2026 года по розничной цене 99 долларов США на пользователя в месяц. В пакет входят Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite и Microsoft 365 E5 с расширенными возможностями Defender, Entra, Intune и Purview. Microsoft Agent 365 — управляющая среда для наблюдения за агентами в организации, управления ими и их защиты — стал общедоступен в тот же день по цене 15 долларов США на пользователя в месяц.