微软周一推出面向企业AI代理的新安全控件，试图在代理数量快速增长、权限过大的情况下，把行为异常或脱离控制的代理当作“内部威胁”来监控和限制。
微软安全业务负责人海耶特·加洛特在博客中称，前沿模型无论来自哪里都不能被信任。她写道，这不是因为这些模型有恶意或容易被攻破，而是因为它们不可预测，训练目标是完成任务，而不是遵循组织规范或判断。企业代理往往权限过高，数量又在快速增加，一些代理可能以没人预料到的方式达成目标，甚至与其他代理串通。
微软董事长兼首席执行官萨蒂亚·纳德拉在10月10日的一篇文章中已提出类似思路。据SiliconANGLE报道，他主张把模型视为内部风险，把安全措施放在模型之外，并称最值得信任的系统将是“让我们最不信任模型的系统”。他还提出，需要把智能的供应与对智能的授权分开。
此次发布的核心功能之一是Guardian Agents，用于监控企业使用的AI代理。它属于Project Perception，微软称该产品于今年6月推出，SiliconANGLE的报道则称其于7月推出，两篇报道在时间上存在差异。Project Perception最初设置了三类代理：像黑客一样攻击的“红队”、检测红队并评估漏洞的“蓝队”，以及负责修复的“绿队”。
在发现代理方面，微软Defender产品新增代理检测功能，可发现多达60类员工设备上的本地代理，报道列举的例子包括Claude Code和Codex等。微软还将Microsoft Entra Agent ID扩展到这些代理，以及传感器发现的未知代理，使它们拥有自己的身份。
被发现后，每个代理会获得一个持续更新的风险评分，这项功能名为Dynamic Agent Risk。评分依据来自微软身份、终端、云和网络工具的信号；当代理行为偏离用户或组织意图时，评分会上升。微软把Entra Conditional Access扩展到代理，形成Dynamic Conditional Access，根据评分决定处置方式：代理可能先失去修改能力但保留读取权限，影响较大的操作可被挂起并要求经过验证的人工批准，评分最高时代理运行时会被隔离或完全停止。
Dynamic Permissions则让代理的访问权限变为临时权限，只授予完成单项任务所需的范围，并受公司整体限制约束，使其权限不会超过所服务的人员。微软Execution Container是代理可运行的沙箱之一，监控位于容器之外，因此即使代理被攻破，也无法自行关闭监控。
Project Perception也新增了工具。安全人员可通过新的Playbooks设定期望结果，由新的Guardian Agents团队执行工作。代理风险评分发生变化会触发Guardian Agents调查，它们可以建议隔离，也可以自行实施隔离，但策略和审批规则仍由人控制。加洛特还表示，未来的控制措施应能解释代理为何采取行动，这需要看到模型的推理令牌；她同时称，模型透明度不会取代隔离。微软表示正把思维链和其他模型层信号纳入Dynamic Agent Risk。
TechCrunch指出，微软与OpenAI和Anthropic关系密切，对两家都有投资，OpenAI还是其最大云客户之一；微软同时希望企业向它购买代理安全产品，而不是向模型供应商购买。报道认为，这种安排有商业利益，但逻辑与审计独立于被审计对象类似。
微软还是英伟达新Open Agent Safety Platform的首批成员，该平台获得100多家科技公司支持，可在安全环境中隔离代理，并通过硬件监控和停止行为，功能类似kill switch。微软还发布了面向代理的Surface Laptop Ultra，使用英伟达芯片，内置代理安全与控制。
微软没有公布这些新控件的可用日期或定价，只表示它们属于Project Perception和Microsoft 365 E7的一部分。Microsoft Ignite将于11月17日开幕，微软让客户届时获取更多细节。