Microsoft 为 Project Perception 增添 Guardian Agents，应对 AI 内部人员风险

Microsoft 于 2026 年 10 月 19 日宣布，将在 Project Perception 和 Microsoft 365 E7 中推出新的安全功能，把企业 AI 智能体视为潜在的内部威胁。这些功能包括持续监督智能体行为的 Guardian Agents，以及能够根据每个智能体的风险变化调整其权限的策略控制。

Microsoft 身份与网络访问企业副总裁 Nadim Abdo 写道，AI 智能体承担的日常工作日益增多，而且往往需要访问公司数据、应用程序、工具和其他智能体才能发挥作用。他还指出，让智能体发挥作用的这些访问权限也会带来内部风险：智能体可能受到操纵、出现错误或遭到入侵，而且能够以机器速度持续运行。

Abdo 表示，Microsoft 正在扩展 Project Perception 的应用范围，以保护如今在企业内部运行的智能体。Project Perception 于 2026 年 7 月推出，当时由红队、蓝队和绿队智能体组成团队，旨在防御来自企业外部、由 AI 驱动的攻击。Project Perception 与 Microsoft Agent 365 共享信号、上下文和统一注册表，让 IT 和安全团队能够掌握一致的智能体及其风险情况。Microsoft 将该系统的持续职责概括为四项：了解有哪些智能体存在；在智能体采取行动前，限制其访问权限和可执行操作；保护智能体执行任务时可能接触到的数据、工具和系统；并随着行为、上下文和风险的变化调整防护措施。

在 Microsoft 官方博客的一篇配套文章中，负责 Microsoft 身份、威胁防护、合规和数据安全工作的 Hayete Gallot 写道，企业已在内部部署智能体，因此实际上默认信任它们，尽管这些智能体往往权限过大，并且能够访问数据、工具和系统。她将它们称为“智能体内部威胁者”，并表示，要约束它们，就需要 Guardian Agents 全天候监督和审核每一项智能体操作，并在操作发生之前进行干预。她还写道，Project Perception 背后的同一套网络安全技术栈也可以用于企业内部，管理和治理在企业中运行的智能体，并通过基于规则的控制来约束行为难以预测的模型智能。

发现、身份与约束

Microsoft 正在扩展智能体发现功能，新增支持 35 种本地智能体类型，使受支持的本地智能体总数达到 60 种，其中包括 Claude Code、OpenAI Codex 和 GitHub Copilot。无论这些智能体是通过何种方式发现的，组织都可以将其纳入统一注册表，以了解其所有权、活动情况和风险。

Microsoft 还将扩展 Microsoft Entra Agent ID，新增适用于更多智能体模式的身份类型，包括通过安全传感器发现的本地智能体和此前未知的智能体。这样，即使某个智能体最初并未集成到 Microsoft Security 中，也可以成为策略的管控对象。Abdo 写道，专用的智能体身份标识能够确立归属、授权、生命周期、所有权、权限、策略和风险，从而让企业区分哪些操作由人员执行，哪些操作是智能体代其执行。

Microsoft 表示，在约束智能体方面，Microsoft Execution Container (MXC) 等沙箱能够依据策略，向智能体开放任务所需的资源，并建立一道执行边界，使控制措施在智能体无法触及的范围内运行。这样一来，即使智能体或其运行框架遭到入侵，也无法关闭监控它的控制措施。Abdo 写道，智能体同样不应被允许随意调用其能够找到的任何工具、API、模型上下文协议服务器、资源或其他智能体；本地、网络和数据控制措施必须对这些访问路径进行管控、观察调用情况，并执行企业策略。

新的动态权限功能会让智能体在不具备任何权限的情况下启动，只授予其执行特定任务所需、且有时限的权限。组织范围的策略会设定外部权限边界，包括禁止智能体获得超出其用户权限的权限；影响较大的操作还可以要求经过验证的人工审批。

动态风险与 Guardian Agents

动态智能体风险评估会综合智能体自身活动的信号，以及身份、数据、终端、云、网络和运行时信号；评估时会权衡智能体的配置、其能够访问的资源、发生故障可能造成的损害，以及其操作与用户或组织意图之间的任何偏差。Microsoft 将评估结果描述为对智能体当前风险的持续更新认知，并据此显示其现有权限是否仍与风险相匹配。

动态条件访问功能将 Microsoft Entra 条件访问扩展至智能体，使风险变化能够触发多个执行点采取协调行动。响应措施会根据风险程度逐步升级：策略可以保留智能体的读取权限，同时禁止写入；缩小其可访问的数据和资源范围；限制网络路径；缩短有时限访问权限的有效期或撤销这些权限；减少权限；或要求在具有重大影响的步骤继续执行前，获得可验证的人工审批。在风险最高时，系统可以隔离智能体的运行时环境，或彻底停止执行。Abdo 举例说，某个负责审批费用的智能体在外部文档中遇到提示注入后，新增证据会提高其动态智能体风险评估；策略随即保留其读取权限，同时取消其审批或写入能力，并要求对具有重大影响的步骤进行可通过密码学方式验证的人工审批。

Microsoft 还将在 Project Perception 中推出 Playbooks 和一支 Guardian Agents 团队：由人制定政策、审批边界和委派规则；Playbooks 确定期望达成的安全结果并协调防护行动；Guardian Agents 则以机器速度执行任务。Microsoft 企业副总裁兼客户安全副首席信息安全官 Terrell Cox 表示，作为 Customer Zero，Microsoft 已经在运营数十万代理的环境中开展工作，而从中吸取的经验教训直接推动了如今正在推出的这些功能。

Microsoft 表示，正在将思维链和其他模型级信号纳入 Dynamic Agent Risk，以帮助识别意图偏移、发现不受信任的信息何时影响代理的推理，并检测计划采取的行动何时偏离指定任务，同时确保执行机制独立于模型。董事长兼首席执行官 Satya Nadella 在Microsoft 安全博客公告引用的讲话中写道：“最值得信赖的代理系统，不会是采用了我们最信任的模型的系统，而是经过精心设计、让我们无需信任模型的系统。”

Microsoft 365 E7 和 Agent 365 背景

Microsoft 安全博客将 10 月 19 日的公告描述为 Microsoft 365 E7 和 Project Perception 的新功能。Microsoft 在一篇2026 年 3 月的安全博客文章中详细介绍了这一捆绑产品。Microsoft 365 E7: The Frontier Suite 于 2026 年 5 月 1 日正式全面上市，零售价为每位用户每月 99 美元，包含 Microsoft 365 Copilot、Agent 365、Microsoft Entra Suite，以及具备高级 Defender、Entra、Intune 和 Purview 功能的 Microsoft 365 E5。Microsoft Agent 365 是用于在整个组织内观察、治理和保护代理的控制平面，于同日正式全面上市，价格为每位用户每月 15 美元。