据TechRadar报道，微软于2026年10月20日承认“前沿模型无法被信任”，并发布一套面向AI代理的安全工具与功能，核心包括Guardian Agents，用于监控、约束和管理自主AI代理带来的风险。微软在由身份与网络访问公司副总裁Nadim Abdo署名的博客中提出“代理式内部人”（Agentic Insider）和“Guardian Agent”两个概念，认为AI代理本身并非恶意，但可能出错、被操控或被攻破。

Abdo写道，代理需要获得较广泛权限才能正常工作，如果处理不当，这种权限会形成危险风险。微软主张不能把AI代理自身的安全交给模型来负责。Abdo引用微软董事长兼CEO Satya Nadella关于信任架构的说法称，必须把智能的供给与其权限分开，不应要求模型成为自身的安全权威；决定模型能访问什么、能采取什么行动、是否应继续运行的控制，必须放在模型之外，使模型无法绕过或篡改。

报道指出，AI代理以机器速度运行，人类难以匹配，因此需要由另外的AI代理实施监督。微软此前推出Project Perception和微软网络安全堆栈，帮助组织用代理进行防御。Project Perception使用三类代理：红队代理寻找弱点，蓝队代理调查潜在威胁，绿队代理实施修正和修复。微软现在将该计划扩展至保护“代理式内部人”，并称之为Guardian Agents。

Abdo解释，Guardian Agents帮助安全团队以机器速度和规模持续运行，网络堆栈中的传感器、上下文和执行器帮助理解代理风险变化并持续调整防护。Project Perception与Microsoft Agent 365共享信号、上下文和统一注册表，使IT和安全团队对代理和风险有一致视图，并掌握各自需要的控制措施。

报道称，Guardian Agents基于一项安全原则：非确定性智能需要被确定性控制、独立证据和隔离边界包围。相关控制分为身份、权限、数据、端点、网络、云和运行时七个方面，承担四项职责：了解存在哪些代理、所有者是谁、为何存在以及正在做什么；在代理行动前限制其可访问和可执行的范围；保护代理使用的数据、工具、运行时、资源和系统；随着行为、上下文和风险变化持续调整防护。

微软还表示，将发现范围扩展至另外35种本地代理，包括Claude Code、OpenAI Codex和GitHub Copilot；并扩展Microsoft Entra Agent ID，增加面向更多代理模式的身份类型，包括本地代理和通过安全传感器发现的此前未知代理。借助“动态权限”和“动态代理风险”，微软希望让企业更紧密地控制AI代理可访问和可执行的内容，同时跟踪其行为和风险水平。动态权限将代理限制在特定任务所需的访问范围内，动态代理风险则检查潜在威胁。动态条件访问可在风险上升时限制权限、阻止某些操作或要求人工批准；在更极端情况下，代理可被停止和隔离。