Microsoft bổ sung Guardian Agents vào Project Perception để ứng phó với rủi ro nội gián từ AI

Ngày 19 tháng 10 năm 2026, Microsoft công bố các khả năng bảo mật mới trong Project Perception và Microsoft 365 E7, xem các tác nhân AI trong doanh nghiệp là những mối đe dọa nội gián tiềm tàng. Các khả năng này bao gồm Guardian Agents giám sát liên tục hành động của tác nhân và các biện pháp kiểm soát chính sách điều chỉnh những gì mỗi tác nhân được phép làm khi mức độ rủi ro thay đổi.

Nadim Abdo, phó chủ tịch tập đoàn phụ trách danh tính và quyền truy cập mạng tại Microsoft, viết rằng các tác nhân AI đang đảm nhận ngày càng nhiều công việc thường nhật và thường cần quyền truy cập vào dữ liệu, ứng dụng, công cụ của công ty cũng như các tác nhân khác để hoạt động hữu ích. Ông viết rằng chính quyền truy cập giúp tác nhân hữu ích cũng tạo ra rủi ro nội gián: tác nhân có thể bị thao túng, mắc lỗi hoặc bị xâm nhập, đồng thời có thể hoạt động liên tục với tốc độ máy móc.

Abdo cho biết Microsoft đang mở rộng Project Perception—ra mắt vào tháng 7 năm 2026 với các nhóm tác nhân đỏ, xanh dương và xanh lá nhằm chống lại những cuộc tấn công do AI điều khiển từ bên ngoài doanh nghiệp—để bảo vệ các tác nhân hiện đang vận hành bên trong doanh nghiệp. Project Perception và Microsoft Agent 365 chia sẻ tín hiệu, bối cảnh và một danh mục đăng ký thống nhất, giúp các nhóm CNTT và bảo mật có cùng một bức tranh về các tác nhân và rủi ro của chúng. Microsoft mô tả bốn trách nhiệm liên tục của hệ thống: nắm rõ những tác nhân nào đang tồn tại; giới hạn những gì mỗi tác nhân có thể truy cập và thực hiện trước khi hành động; bảo vệ dữ liệu, công cụ và hệ thống trên đường đi của tác nhân; và điều chỉnh biện pháp bảo vệ khi hành vi, bối cảnh và rủi ro thay đổi.

Trong một bài viết đi kèm trên The Official Microsoft Blog, Hayete Gallot—người phụ trách các lĩnh vực danh tính, bảo vệ trước mối đe dọa, tuân thủ và bảo mật dữ liệu tại Microsoft—viết rằng các doanh nghiệp đã triển khai tác nhân trong nội bộ và vì thế mặc nhiên tin tưởng chúng, dù những tác nhân này thường được cấp quá nhiều đặc quyền và có quyền truy cập vào dữ liệu, công cụ và hệ thống. Bà gọi chúng là “những tác nhân nội gián” và cho biết để kiềm chế chúng, cần có Guardian Agents giám sát và điều tiết từng hành động của tác nhân suốt ngày đêm, trước khi hành động đó diễn ra. Bà viết rằng hệ thống bảo mật mạng đứng sau Project Perception cũng có thể được chuyển hướng vào bên trong để quản lý và điều hành các tác nhân hoạt động trong doanh nghiệp, đặt các biện pháp kiểm soát dựa trên quy tắc xung quanh trí tuệ của mô hình vốn không hoạt động theo cách có thể dự đoán.

Phát hiện, danh tính và kiềm chế

Microsoft đang mở rộng khả năng phát hiện tác nhân để bao gồm thêm 35 loại tác nhân cục bộ, nâng tổng số tác nhân cục bộ được hỗ trợ lên 60, trong đó có Claude Code, OpenAI Codex và GitHub Copilot. Các tổ chức có thể đưa những tác nhân này vào một danh mục đăng ký thống nhất, bất kể chúng được phát hiện bằng cách nào, để nắm rõ quyền sở hữu, hoạt động và rủi ro.

Microsoft cũng đang mở rộng Microsoft Entra Agent ID với các loại danh tính dành cho những mô hình tác nhân bổ sung, bao gồm tác nhân cục bộ và tác nhân chưa từng được biết đến trước đó nhưng được phát hiện qua cảm biến bảo mật. Nhờ vậy, một tác nhân có thể trở thành đối tượng áp dụng chính sách ngay cả khi ban đầu chưa được tích hợp với Microsoft Security. Abdo viết rằng danh tính tác nhân hạng nhất làm cơ sở cho việc quy kết, cấp quyền, quản lý vòng đời, quyền sở hữu, quyền hạn, chính sách và rủi ro, giúp doanh nghiệp phân biệt hành động nào do một người thực hiện và hành động nào do tác nhân thực hiện thay cho người đó.

Về việc kiềm chế tác nhân, Microsoft cho biết các môi trường hộp cát như Microsoft Execution Container (MXC) cấp cho tác nhân quyền truy cập tài nguyên theo chính sách, phù hợp với yêu cầu của nhiệm vụ, đồng thời tạo ra ranh giới thực thi để các biện pháp kiểm soát hoạt động ngoài tầm với của tác nhân. Nhờ đó, tác nhân hoặc bộ khung vận hành bị xâm nhập không thể vô hiệu hóa các biện pháp kiểm soát đang giám sát nó. Abdo viết rằng tác nhân cũng không nên được tự do gọi bất kỳ công cụ, API, máy chủ Model Context Protocol, tài nguyên hay tác nhân nào khác mà chúng tìm thấy; các biện pháp kiểm soát cục bộ, mạng và dữ liệu phải quản lý những đường truy cập đó, theo dõi các lệnh gọi và thực thi chính sách của doanh nghiệp.

Tính năng Quyền hạn động mới khởi chạy tác nhân mà không cấp quyền nào, sau đó chỉ cấp các quyền giới hạn theo nhiệm vụ và thời hạn. Chính sách trên toàn tổ chức thiết lập ranh giới tối đa, trong đó có việc ngăn tác nhân nhận được quyền hạn mà người dùng của nó không có; các hành động có tác động lớn hơn có thể yêu cầu con người phê duyệt sau khi xác minh.

Rủi ro động và Guardian Agents

Dynamic Agent Risk kết hợp tín hiệu từ chính hoạt động của tác nhân với tín hiệu về danh tính, dữ liệu, thiết bị đầu cuối, đám mây, mạng và môi trường thực thi. Tính năng này cân nhắc cấu hình của tác nhân, các tài nguyên nằm trong tầm truy cập của nó, thiệt hại có thể xảy ra nếu có sự cố, cũng như mọi sai lệch giữa hành động của tác nhân với ý định của người dùng hoặc tổ chức. Microsoft mô tả kết quả là nhận định liên tục được cập nhật về mức độ rủi ro hiện tại của tác nhân, cho biết liệu quyền hạn mà tác nhân đang có còn phù hợp với mức rủi ro đó hay không.

Dynamic Conditional Access mở rộng Microsoft Entra Conditional Access dành cho tác nhân, cho phép thay đổi về rủi ro kích hoạt hành động phối hợp tại nhiều điểm thực thi. Phản ứng được phân cấp: chính sách có thể giữ quyền đọc của tác nhân nhưng chặn quyền ghi, thu hẹp phạm vi dữ liệu và tài nguyên mà tác nhân có thể truy cập, hạn chế đường kết nối mạng, rút ngắn hoặc thu hồi quyền truy cập có thời hạn, giảm quyền hạn hoặc yêu cầu con người phê duyệt theo cách có thể xác minh trước khi một bước có hệ quả đáng kể được thực hiện. Ở mức rủi ro cao nhất, hệ thống có thể cô lập môi trường thực thi của tác nhân hoặc dừng hoàn toàn quá trình thực thi. Abdo nêu ví dụ về một tác nhân phê duyệt chi phí gặp phải nội dung chèn lệnh trong tài liệu bên ngoài: bằng chứng mới làm tăng Dynamic Agent Risk của tác nhân, khiến chính sách giữ lại quyền đọc nhưng loại bỏ khả năng phê duyệt hoặc ghi, đồng thời yêu cầu con người phê duyệt có thể xác minh bằng mật mã trước khi thực hiện một bước có tác động lớn.

Microsoft cũng đang giới thiệu Playbooks và một nhóm Guardian Agents trong Project Perception: con người xác định chính sách, ranh giới phê duyệt và quy tắc ủy quyền; Playbooks xác định kết quả bảo mật mong muốn và phối hợp các hành động bảo vệ; còn Guardian Agents thực hiện công việc với tốc độ máy tính. Terrell Cox, phó chủ tịch tập đoàn kiêm phó giám đốc an ninh thông tin phụ trách bảo mật khách hàng của Microsoft, cho biết Microsoft đã vận hành trong một thế giới có hàng trăm nghìn tác tử với tư cách là Customer Zero, và những bài học rút ra từ đó trực tiếp định hình các khả năng hiện đang được cung cấp.

Microsoft cho biết họ đang đưa chuỗi suy luận và các tín hiệu khác ở cấp độ mô hình vào Dynamic Agent Risk nhằm giúp xác định sự lệch hướng về ý định, phát hiện khi thông tin không đáng tin cậy ảnh hưởng đến quá trình suy luận của tác tử và nhận biết khi các hành động dự kiến đi chệch khỏi nhiệm vụ được giao, đồng thời vẫn giữ cho cơ chế thực thi độc lập với mô hình. “Hệ thống tác tử đáng tin cậy nhất sẽ không phải là hệ thống có mô hình mà chúng ta tin tưởng nhất”, Chủ tịch kiêm Giám đốc điều hành Satya Nadella viết trong những nhận định được trích dẫn trong thông báo trên blog bảo mật của Microsoft. “Đó sẽ là hệ thống được thiết kế để chúng ta ít phải tin vào mô hình nhất.”

Thông tin cơ bản về Microsoft 365 E7 và Agent 365

Blog bảo mật của Microsoft mô tả thông báo ngày 19 tháng 10 là việc bổ sung các khả năng mới cho Microsoft 365 E7 và Project Perception. Microsoft trình bày chi tiết gói dịch vụ này trong một bài đăng trên blog bảo mật tháng 3 năm 2026. Microsoft 365 E7: The Frontier Suite chính thức được cung cấp rộng rãi vào ngày 1 tháng 5 năm 2026, với giá bán lẻ 99 USD cho mỗi người dùng mỗi tháng; gói này bao gồm Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite và Microsoft 365 E5 cùng các khả năng nâng cao của Defender, Entra, Intune và Purview. Microsoft Agent 365, mặt phẳng điều khiển để giám sát, quản trị và bảo mật các tác tử trong toàn tổ chức, cũng chính thức được cung cấp rộng rãi trong cùng ngày, với giá 15 USD cho mỗi người dùng mỗi tháng.