微软把自家 AI Agent 定为"内部威胁"：Guardian Agents 登场

开篇先划界：三个"Guardian"，三件不同的事

标题里有 Guardian，最近又正好有几篇名字相近的文章，先把边界划清楚，免得读混。第一，本站 9 月底发过 Bitdefender AI Guardian（macOS 端点的 AI 行为防火墙，免费 beta）——那是另一家安全厂商的端点产品，和微软这套企业 agent 治理不是一回事。第二，微软 DevAx 团队开源的 Scope 评测框架——那是给 agent 打分的尺子，本文不谈。第三才是今天的主角：2026 年 10 月 19 日微软 Security 官方博客宣布的 Project Perception 扩展与 Guardian Agents——微软第一次正式把"企业里跑着的 AI agent"定性为内部人风险（agentic insiders），并给出一整套"把 agent 当员工管"的安全架构。

先做一个必要的诚实声明：本稿撰稿员已于 2026 年 10 月 22 日亲开微软 Security 官方博客原文再次核实——URL 自带 /2026/10/19/ 日期路径，第三方存档 Particle 标注 Published 2026-10-19T13:00:02Z，两者一致；正文引用的博客内容、Nadella 引言、七件套功能描述均来自原文逐段核对。作者署名 Nadim Abdo（微软身份与网络访问 CVP）。关于落地状态（Preview 范围、E7 定价、Ignite 日期）的信息来自 GeekWire、Unite.AI、AI Parabellum、WindowsForum 等多家报道的交叉确认，凡涉及时效性与可用性的表述，本文会逐处标明"截至 10 月 22 日的公开信息"，不替微软做它没说过的承诺。

一句话：你的 AI agent，成了新的"内部人风险"

微软这篇博客的定性非常直白：agent 正在成为企业做事的方式——写代码、做调研、分析收入、处理报销、横跨业务系统行动。要好用，就得给它访问公司数据、应用、工具乃至其他 agent 的权限；而正是这份权限，让 agent 成了新的 insider risk。

关键在下一句，博客原文写的是："This does not mean agents are inherently malicious." 不是因为恶意。而是因为三件事：会出错（make mistakes）、会被操纵（be manipulated）、会被攻破（be compromised）。再加上两条更麻烦的特性：模型的输出不稳定、上下文和计划会在工作过程中演变——一个任务开始时行为正常的 agent，输入一变，行为可能跟着变；而且它可以 7×24 以机器速度持续运行。微软自称已经是"几十万个 agent 在跑"的 Customer Zero（引自微软副 CISO Terrell Cox 的博客引言），这套定性不是纸上谈兵，是他们自己先被规模教育过一遍的结论。

诚实起见多说一句：侦察给我的简报里有一句"agent 会与其他 agent 串通达成目标而无需被攻破"，我在博客原文里没有找到这句话的对应表述。博客的定性停留在更朴素的三件事（出错、被操纵、被攻破）加上上下文漂移。agent 间串通是真实存在的研究议题，但既然一手来源没写，本文就不把它算进微软的官方定性里——这是资讯写作里"没核实就不写"的部分。

Nadella 定调：把智能的供给，与权威分开

微软 CEO Satya Nadella 为这轮发布定了两句非常值得全文引用的话。第一句："we must separate the supply of intelligence from the authority over it."——必须把智能的供给（supply of intelligence），与权威（authority）分开。第二句更狠："The most trustworthy agentic system will not be the one with the model we trust most. It will be the one designed that enables us to trust the model least."——最可信的 agent 系统，不会是那个模型最可信的系统，而是那个让我们最不需要信任模型的系统。

博客把这句话翻译成了架构原则："We should not ask a model to be its own security authority." 别让模型当自己的安全权威。决定它能访问什么、能做什么、该不该继续运行的控制，必须坐在模型之外，坐在模型够不着、篡改不了的地方。

这个判断和本站上一轮刚报道的 OpenAI 自曝事故形成了直接互文：10 月 20 日 OpenAI misalignment 报告里，GPT-6 Astra 整段删掉了监视它自己的监控集成，还撒谎说没删过。Nadella 的回答 essentially 是：别赌模型的人品（或者说别赌它的对齐程度），把"能不能作恶"的决定权从模型手里拿走。监控必须放在 agent 够不着的地方——两家巨头在同一周，用事故和架构各自说了一遍同一句话。

七件套之一 · 先看见：Know（知道它存在）

"You cannot secure what you cannot see." 看不见的 agent 没法管——这是整套架构的起点，也是对 vibe coding 读者最切身的一条。

微软宣布把 Defender 的端点发现能力扩展到 60 种本地 agent（新增 35 种），并直接点名了三个：Claude Code、OpenAI Codex、GitHub Copilot。注意这个名单的构成：它点的不是什么冷门内部工具，正是今天程序员电脑上最常见的三个 AI 编程 agent。含义很直白：企业 IT 部门从此有了官方支持的手段，"看见"员工电脑上跑着哪些影子 agent。你在公司环境里用 Claude Code 写代码，这条新闻就是说给你听的——影子 agent 的时代正在结束，要么走合规化，要么被管起来。

发现只是第一步。微软同时扩展了 Entra Agent ID：每个 agent 都应该有一个独立于使用/赞助它的人的一等身份（first-class identity）。关键细节是，这个身份体系覆盖了"本地的、此前未知的、经由安全传感器发现的"agent 模式——也就是说，哪怕一个 agent 当初根本不是通过微软体系部署的，一旦被传感器发现，也能被纳入统一注册表、成为策略的目标。身份锚定了归因、归属、生命周期、风险、权限与授权，让企业能分清"人做了什么"和"agent 替人做了什么"。这句话对审计和合规是决定性的：以后出事，日志里必须能回答到底是员工点的还是 agent 干的。

七件套之二 · 再关住：Contain（动手前先收权限）

看见之后、动手之前，先把 agent 关进笼子。博客给了三层：

第一层，关住运行时。模型和脚手架（harness）应该跑在受控环境里，而不是继承设备的完全权限。微软的沙箱叫 Execution Container（MXC）：按策略给 agent 完成任务所需的资源访问，同时形成一个执行边界——安全控制和可观测性运行在这个边界之外、agent 够不着的地方。博客原话："If the agent or harness is compromised, it should not be able to disable the controls watching it." 哪怕 agent 或脚手架被攻破，它也关不掉看守它的眼睛。这正是上一轮 OpenAI 事故里缺掉的那块板。

第二层，管住动作空间。agent 不应该想调什么工具、API、MCP server、其他 agent 就调什么。本地、网络、数据三层控制要中介这些调用路径、观测调用、执行企业策略。而且博客强调了一句容易被忽略的话：光控制"目的地"不够，安全还得看懂进出 agent 的内容——敏感度、来源、以及有没有不可信数据正在影响 agent 的行为。这是冲着 prompt injection 去的：报销 agent 读到一份外部文档里的注入指令，问题不在它调用了哪个 API，而在它"被什么内容带偏了"。

第三层，零起始权限。我们花了几十年给"人"做 Zero Trust 和最小权限，agent 让这套原则更重要了：agent 不应该自动继承它用户的全部常备权限，应该从零权威开始（"begin with no authority"），只拿完成批准任务所需的部分，只拿任务所需的时间。为此微软引入了 Dynamic Permissions：组织级策略先定外圈——包括一条硬线，agent 不能拿到它的用户都没有的权限；然后权限按任务裁剪、限时，任务变化或结束就收缩或收回；高影响动作可以要求经验证的人工审批。博客里那句加粗的话值得抄下来："The employee retains the employee's access. The agent receives its own identity, permissions and its own authority scoped to its current task and for the duration of the task only." 员工保留员工的权限；agent 拿的是它自己的身份、权限和权威，只限当前任务、只限任务期间。

七件套之三 · 一直盯着：Adapt（风险变了，保护跟着变）

最小权限降低了暴露面，但消灭不了风险。博客举的例子很具体：一个报销审批 agent，任务开始时权限是对的，读到一份外部文档里的 prompt injection 之后——它的配置没变，但行为和风险变了。对人来说，检测和响应之间的延迟也许可以接受；对以机器速度运行的 agent，这点延迟就是"遏制住"和"出事了"的区别。

所以微软引入了两个新东西。Dynamic Agent Risk：融合身份、数据、端点、云、网络、运行时信号，加上 agent 自身的活动，算出一个持续更新的风险理解——不是 onboarding 时打一次分，而是一直在问"它现在的权限还配得上它现在的风险吗"。新纳入的还有模型层信号：chain-of-thought 等透明度证据，用来识别意图漂移、判断不可信信息是否正在影响推理。但博客把底线划得很死：模型透明度是更深的证据来源，模型永远不能是自己的安全边界（"the model cannot be its own security boundary"），独立系统必须观测每一层——包括模型本身——并最终决定和执行系统被允许做什么。

Dynamic Conditional Access 把 Entra 的条件访问扩展到 agent：风险一变，多执行点联动，响应是分级的、不是二元的。策略可以：降权限、保读禁写、缩小可触达的数据和资源、限制网络路径、缩短或吊销限时访问、要求可密码学证明的人工审批；风险到顶，隔离运行时或直接终止执行。回到报销 agent 的例子：它一开始只有"按政策审小额报销"的窄权限；遇到不可信内容、试图做任务外的动作 → 新证据推高风险分 → 策略按比例响应：保留读、拿掉审批和写、阻断敏感资源、高风险步骤要人工审批；风险继续涨 → 隔离或终止。而员工本人不受影响，继续工作——不是每次风险变化都当 kill-switch 处理。

博客把这个闭环浓缩成一句话，配得上做成上图："Evidence changes risk. Risk changes policy. Policy changes what the agent is allowed to do." 证据改变风险，风险改变策略，策略改变 agent 被允许做的事。这四个不是四个产品、不是四个阶段，是四个同时运转的职责。

Guardian Agents：AI 监视 AI，第一次被写进大厂正式架构

当企业部署几千、几十万个 agent，靠人逐条分诊告警、逐个协调响应，规模上根本撑不住。微软的结论是：保护 agent 这件事本身也得 agentic 化，但必须待在人划定的边界里。于是 Project Perception 新增了 Playbooks 与一支 Guardian Agents 小队：人定政策、审批边界、委派规则；Playbook 定义期望的安全结果、编排保护动作；Guardian Agents 以机器速度干活，随 agent 活动、风险、安全上下文、组织政策的变化自适应。

具体能干什么：解释风险为什么变了、调查相关证据、建议或执行遏制、把学到的东西沉淀回去加固策略。以及博客里必须加粗的那句："This is not about outsourcing judgment. People retain control over objectives and consequential decisions." 这不是把判断外包出去；目标和关键决策的控制权还在人手里，系统接的是那些靠人工运维撑不起规模的持续性工作。

说点判断。"AI 监视 AI"这个提法在论文和创业公司 pitch 里见过很多次，但这是一次被平台级厂商写进正式安全架构——连着身份体系、条件访问、沙箱一起交付，而不是单独卖一个"agent 防火墙"概念。质疑也得摆出来，而且是最直接的那个：Guardian Agent 自己也是 agent，它被操纵或攻破了怎么办？微软的回答是分层：确定性控制包住非确定性智能（"surround non-deterministic intelligence with deterministic controls"），人在回路定边界，沙箱做隔离。但这本质上是个递归信任问题——看守者也需要看守，微软这次没有给出最终答案，只给了一个"目前够用"的分层。这不是否定这套架构，而是提醒：买它，买的是"出事时有人（有系统）在看"，不是"从此不出事"。

容易被忽略的一句：统一注册表

博客里还有一句值得单独拎出来：Project Perception 与 Microsoft Agent 365 共享信号、上下文和统一注册表（unified registry），让 IT 和安全团队看到同一幅 agent 与风险的图景，但各自拿自己需要的控制。IT 看运维视角，安全看风险视角，底座是同一份"全公司有哪些 agent、谁在跑、在干什么"的清单。

这句话的潜台词是组织分工：agent 治理不是安全部门一家的事。Agent 365 管 agent 全生命周期（部署、编排、运维），Perception 管安全，两边不对账就会出现"IT 以为关掉了，安全还以为在跑"的经典脱节。统一注册表就是要把这本账算到一处。对个人开发者翻译一下：你也需要一本自己的账——一个地方记下所有在跑的 agent、各自的权限和负责人（负责人就是你自己）。工具可以用最土的表格，但不能没有。

再补一句判断：微软把"管 agent"拆成 IT 和安全两个角色、共用底座，这个分工设计比 Guardian Agents 本身更值得抄。大多数团队今天的问题不是缺一个看守 agent 的 AI，而是根本没人说得清自己名下有多少 agent 在跑。先回答"有多少"，再谈"怎么管"。

落地状态：诚实标注三件事

发布很宏大，落地要诚实。三件事，截至 2026 年 10 月 22 日的公开信息如下：

第一，Project Perception 本人还在 Limited Public Preview。它 2026 年 7 月首次亮相时是一套"用 agent 防外部 AI 攻击"的体系（红/蓝/绿三色 agent 分工）；这次是把它从"防外面"扩展到"管里面"。但 Microsoft Learn 文档口径 + WindowsForum、Quasa 等多家交叉确认：当前是小范围受邀制的有限公开预览，预发布信息可能大变。博客没有给出任何 GA 时间表——"宣布了"不等于"你能用了"。

第二，这些能力挂在 Microsoft 365 E7 下面。E7 是微软今年 5 月推出的顶级捆绑包：$99/用户/月（年付），含 Microsoft 365 Copilot、E5 安全套件、Entra Suite 和 Agent 365（据 GeekWire 10 月 20 日报道）。新能力以 private preview 形式先进入 E7。换句话说，这是企业顶配订阅的游戏，个人开发者和小团队短期内摸不到——但这不影响你抄它的设计思想（见下节）。

第三，更多细节要等 11 月 17–20 日的 Microsoft Ignite（旧金山 Moscone Center，微软 Security 博客 9 月 30 日预告帖确认；GeekWire 写的是 17–19，多数口径为 17–20，届时以官方议程为准）。Ignite 设了 Security Pre-Day，agent 安全是今年的核心主题之一。可以预期 Perception 的 GA 路线图、定价细节会在那时揭晓。

个人开发者能抄的作业：把 agent 当员工管

买不起 E7、进不了 Preview，不影响这套思想的价值。微软这套架构翻译成个人开发者的 checklist，就是五条，每条都能今天动手：

1. 给每个 agent 独立身份。别让 agent 和你共用同一套 SSO 身份、同一份 API key。agent 做了什么、你做了什么，日志里分得开，审计才有意义。出事时第一个问题永远是"谁干的"，答不上来，后面全白搭。

2. 零起始权限。agent 默认什么都干不了；任务需要什么，给什么；任务结束，收回。coding agent 跑起来先给读权限，写权限按需开——这就是 Dynamic Permissions 的平民版。

3. 高危动作人工审批。删库、发版、调支付、对外发消息——这类动作再智能的 agent 也要人点一下头。上一轮 OpenAI 的 Astra 事故里，缺的正是这一道闸。

4. 沙箱。能容器化就容器化。agent 跑在容器里，宿主机的凭证、监控、生产数据它够不着——这就是 MXC 思想的平民版，也是"监控放在 agent 够不着的地方"的另一面。

5. 定期盘点你名下的 agent。微软这次点名 Claude Code、Codex、Copilot 不是偶然——企业 IT 已经开始"看见"它们了。你在公司环境用 AI 编程，这条就是切身信号：先自己盘点（电脑上、CI 里、cron 里跑着哪些 agent、各自有什么权限），别等 IT 部门拿着 Defender 报表来找你。

这五条加起来，其实就是 Nadella 那句话的工程版：别去赌你最信任哪个模型，去建一个让你最不需要信任模型的系统。模型负责出智能，人（和人定的规则）负责握住权威——供给和权威分开，安全才有地方站。