微软于2026年10月19日宣布推出全新安全功能，正式将AI智能体列为潜在的“内部威胁”。该功能将持续评估每个智能体的风险等级，并在风险升高时自动限制其操作权限。
这一功能被纳入Microsoft 365 E7套件及微软Project Perception安全系统。据媒体报道，该系统基于数据访问范围、行为偏离度等多重信号，对智能体进行持续更新的风险评估。一旦风险上升，系统可采取撤销变更权限、要求人工批准高风险步骤，或直接关闭智能体等措施。
微软CEO萨提亚·纳德拉在此前的博客文章中强调，对AI模型的管控必须独立于模型之外。“最值得信赖的超级智能系统，并非我们最信任的那个模型，而是那个让我们最少依赖信任的系统。”纳德拉写道。
Project Perception转向内部防御
微软于今年7月推出Project Perception，最初旨在防御来自企业外部的AI驱动攻击。微软安全执行副总裁Hayete Gallot表示，该系统现已扩展至遏制所谓的“智能体内部人员”。她指出，这些智能体通常拥有过高权限，能够访问关键数据、工具和系统，并在核心流程中做出决策。
Gallot表示，企业需部署“Guardian Agents”（监护智能体），全天候监控并审查智能体的每一项操作。Project Perception通过从身份、数据、云、终端、网络和运行时传感器收集信号，为每个智能体分配独立身份、容器及策略权限。系统动态计算风险，Guardian Agents则与Perception系统的绿色和蓝色智能体协同，在风险攀升时实时响应。
此外，微软扩大了对员工计算机上本地运行AI智能体的发现能力，检测种类从此前的25种增加至60种，涵盖Anthropic的Claude Code、OpenAI的Codex和GitHub Copilot等。Guardian Agents可调查风险变化原因，并建议或执行隔离措施。
动态权限与风险评估
微软负责身份和网络访问的企业副总裁Nadim Abdo详述了具体技术细节。Dynamic Permissions（动态权限）功能遵循最小特权原则，启动时不赋予任何权限，仅根据任务需求授予临时访问权，且时效仅限于任务期间。Dynamic Agent Risk（动态智能体风险）对智能体进行持续评估，而Dynamic Conditional Access（动态条件访问）则扩展了Microsoft Entra条件访问功能，使风险变化能触发分级响应，最高可达隔离运行环境或停止运行。
Abdo将这种设计描述为用“确定性控制、独立证据和隔离边界”包围“非确定性智能”。Microsoft Execution Container（执行容器）等沙箱技术在智能体能力范围外创建执行边界，确保被攻陷的智能体无法禁用监视机制。通过扩展Microsoft Entra Agent ID，每个智能体获得独立身份，与其使用者或赞助者分离。
Project Perception中的新Playbooks（剧本）允许用户设置策略、审批界限和委托规则，由Guardian Agents以机器速度执行。该系统与管理AI智能体的服务Agent 365共享信号、上下文和单一注册表，确保IT和安全团队对智能体及其风险保持一致视图。
值得注意的是，Microsoft 365 E5套餐已于今年5月推出，定价为每位用户每月99美元，捆绑了Microsoft 365 Copilot、E5生产力与安全工具套件、Entra Suite身份工具以及Agent 365。据悉，新的智能体安全功能目前处于私密预览阶段，计划于11月17日至19日在旧金山举行的微软Ignite大会上提供更广泛的使用权限。