Microsoft lägger till Guardian Agents i Project Perception för att hantera insiderhot från AI

Den 19 oktober 2026 tillkännagav Microsoft nya säkerhetsfunktioner i Project Perception och Microsoft 365 E7. De betraktar företagens AI-agenter som potentiella insiderhot och introducerar Guardian Agents, som kontinuerligt övervakar agenternas handlingar, samt policykontroller som anpassar vad varje agent får göra när risknivån förändras.

Nadim Abdo, vice vd med ansvar för identitet och nätverksåtkomst på Microsoft, skrev att AI-agenter tar över en allt större del av det dagliga arbetet och ofta behöver åtkomst till företagsdata, applikationer, verktyg och andra agenter för att vara till nytta. Samma åtkomst som gör agenterna användbara innebär också en insiderhotrisk, skrev han: agenter kan manipuleras, begå misstag eller komprometteras, och de kan köras kontinuerligt i maskinhastighet.

Abdo sade att Microsoft utökar Project Perception, som lanserades i juli 2026 med team av röda, blå och gröna agenter för att försvara sig mot AI-drivna attacker utifrån, så att lösningen även skyddar agenterna som nu körs inom företaget. Project Perception och Microsoft Agent 365 delar signaler, kontext och ett enhetligt register, så att IT- och säkerhetsteamen får samma bild av agenterna och riskerna med dem. Microsoft beskriver fyra kontinuerliga ansvarsområden för systemet: att hålla reda på vilka agenter som finns, begränsa vad varje agent kan komma åt och göra innan den agerar, skydda data, verktyg och system i agentens väg samt anpassa skyddet när beteende, kontext och risk förändras.

I ett tillhörande inlägg på The Official Microsoft Blog skrev Hayete Gallot, vars ansvarsområde på Microsoft omfattar identitet, hotskydd, regelefterlevnad och datasäkerhet, att företag har infört agenter internt och därmed underförstått litar på dem, trots att agenterna ofta har alltför omfattande behörigheter och åtkomst till data, verktyg och system. Hon beskrev dem som ”insideraktörer med agentförmåga” och sade att det krävs Guardian Agents för att begränsa dem. Dessa ska dygnet runt övervaka och moderera varje agenthandling innan den utförs. Samma cybersäkerhetslösning som ligger till grund för Project Perception kan, skrev hon, också riktas inåt för att hantera och styra agenter som arbetar inom företaget. På så sätt omges modellintelligens, som inte beter sig förutsägbart, av regelbaserade kontroller.

Identifiering, identitet och begränsning

Microsoft utökar identifieringen av agenter med 35 ytterligare typer av lokala agenter, vilket ger totalt 60 lokala agenter som stöds, däribland Claude Code, OpenAI Codex och GitHub Copilot. Organisationer kan samla dessa agenter i ett enhetligt register, oavsett hur de identifierades, för att få en överblick över ägarskap, aktivitet och risk.

Microsoft utökar också Microsoft Entra Agent ID med identitetstyper för fler agentmönster, bland annat lokala och tidigare okända agenter som upptäcks av säkerhetssensorer. Därmed kan en agent bli föremål för en policy även om den inte ursprungligen integrerades med Microsoft Security. En fullvärdig agentidentitet utgör grunden för attribution, auktorisering, livscykel, ägarskap, behörigheter, policy och risk, skrev Abdo. På så sätt kan företaget skilja mellan vad en person gjorde och vad en agent gjorde åt personen.

För att begränsa agenternas åtkomst sade Microsoft att sandlådor som Microsoft Execution Container (MXC) ger dem policyreglerad åtkomst till de resurser en uppgift kräver och skapar en kontrollgräns där kontrollerna verkar utanför agentens räckhåll. Därmed kan en komprometterad agent eller körmiljö inte inaktivera kontrollerna som övervakar den. Agenter bör inte heller fritt kunna anropa vilket verktyg, API, Model Context Protocol-server, vilken resurs eller annan agent som helst som de hittar, skrev Abdo. Lokal kontroll, nätverkskontroll och datakontroll måste styra dessa anslutningar, övervaka anropen och upprätthålla företagets policy.

Nya dynamiska behörigheter innebär att en agent börjar utan behörighet och endast får uppgiftsbundna behörigheter som gäller under en begränsad tid. En organisationsomfattande policy sätter den yttre gränsen och hindrar bland annat en agent från att få behörigheter som dess användare saknar. Åtgärder med större konsekvenser kan kräva verifierat mänskligt godkännande.

Dynamisk risk och Guardian Agents

Dynamic Agent Risk sammanväger signaler från agentens egen aktivitet med signaler om identitet, data, slutpunkter, moln, nätverk och körmiljö. Bedömningen tar hänsyn till agentens konfiguration, vilka resurser den kan nå, vilken skada ett fel skulle kunna orsaka och eventuella avvikelser mellan agentens handlingar och användarens eller organisationens avsikt. Microsoft beskrev resultatet som en kontinuerligt uppdaterad bild av agentens aktuella risk, som visar om dess behörigheter fortfarande motsvarar risknivån.

Dynamic Conditional Access utökar Microsoft Entra Conditional Access för agenter, så att en riskförändring kan utlösa samordnade åtgärder vid flera kontrollpunkter. Åtgärderna anpassas efter risknivån: en policy kan behålla agentens läsbehörighet men blockera skrivbehörighet, begränsa vilka data och resurser agenten kan nå, begränsa nätverksvägar, förkorta eller återkalla tidsbegränsad åtkomst, minska behörigheter eller kräva verifierbart mänskligt godkännande innan ett steg med betydande konsekvenser får genomföras. Vid de högsta risknivåerna kan systemet isolera agentens körmiljö eller stoppa körningen helt. Abdo gav som exempel en agent som godkänner utlägg och stöter på en promptinjektion i ett externt dokument: ny information höjer agentens Dynamic Agent Risk, och policyn reagerar genom att behålla läsbehörigheten men ta bort möjligheten att godkänna eller skriva. För ett steg med stor påverkan krävs då ett kryptografiskt verifierbart mänskligt godkännande.

Microsoft introducerar också Playbooks och ett team med Guardian Agents i Project Perception: människor definierar policyer, gränser för godkännanden och regler för delegering, Playbooks anger önskat säkerhetsresultat och samordnar skyddsåtgärder, och Guardian Agents utför arbetet i maskinhastighet. Terrell Cox, Microsofts koncernvicepresident och biträdande informationssäkerhetschef med ansvar för kundsäkerhet, sade att Microsoft redan verkar i en värld med hundratusentals agenter som Customer Zero och att lärdomarna därifrån direkt ligger till grund för de funktioner som nu levereras.

Microsoft sade att företaget inför kedjor av resonemang och andra signaler på modellnivå i Dynamic Agent Risk för att lättare identifiera när en agents avsikt förändras, upptäcka när information som inte är betrodd påverkar agentens resonemang och fastställa när planerade åtgärder avviker från den tilldelade uppgiften, samtidigt som verkställigheten förblir oberoende av modellen. ”Det mest tillförlitliga agentsystemet kommer inte att vara det med den modell vi litar mest på”, skrev styrelseordförande och vd Satya Nadella i uttalanden som återgavs i Microsofts tillkännagivande på Security Blog. ”Det kommer att vara det som utformats så att vi kan lita minst på modellen.”

Bakgrund om Microsoft 365 E7 och Agent 365

Microsofts Security Blog beskriver tillkännagivandet den 19 oktober som nya funktioner i Microsoft 365 E7 och Project Perception. Microsoft beskrev paketet i ett blogginlägg på Security Blog i mars 2026. Microsoft 365 E7: The Frontier Suite blev allmänt tillgängligt den 1 maj 2026 till ett listpris på $99 per användare och månad och omfattar Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite och Microsoft 365 E5 med avancerade funktioner i Defender, Entra, Intune och Purview. Microsoft Agent 365, kontrollplanet för att övervaka, styra och skydda agenter i en organisation, blev allmänt tillgängligt samma dag till ett pris på $15 per användare och månad.