微软Project Perception扩展AI Agent管控

资讯专家

Microsoft宣布扩展Project Perception，新增监控和限制企业环境中潜在失控AI Agent的控制。Microsoft称组织应把AI Agent当作内部人员，而不是默认可信软件。Project Perception是Microsoft今年7月推出的agentic安全系统，最初用于防御外部AI驱动攻击，现在也覆盖企业内部运行的Agent。

Microsoft Security执行副总裁Hayete Gallot表示，企业往往默认信任自己部署的Agent；前沿模型以取得结果为目标训练，并非围绕组织规范或判断构建。这些Agent经常权限过高，可访问数据、工具和系统，并能在关键流程中采取行动和做决策。Microsoft身份与网络访问副总裁Nadim Abdo补充，“内部人员”标签不代表Agent本身恶意，而是说它们是有能力的工具，可被用户授予重要系统访问权限，也可能犯错、被操纵或被攻陷。

新增的Dynamic Permissions让Agent初始没有权限或仅有最小权限，随后按任务授予；任务变化或结束时权限过期或收缩，高影响操作需要人工审核。Dynamic Agent Risk为每个Agent提供持续更新的风险评分，综合Agent活动以及身份、数据、端点、云、网络和运行时信号，并考虑其安全配置、可触达资源、出错时可能造成的损害，以及是否偏离用户或组织意图。

Dynamic Conditional Access把Entra Conditional Access引入Agent，根据风险变化采取动作：不只是允许或阻止，还可缩减权限、只读不写、限制可访问的数据和网络资源，或要求人工批准有后果的操作；风险足够高时，可隔离Agent运行时或停止执行。为规模化处置，Project Perception引入Playbooks和Guardian Agents：由人制定规则和审批限制，Playbooks说明安全响应应达到的目标，Guardian Agents负责执行、调查Agent风险变化原因，并建议或实施遏制。Microsoft还将Agent发现范围扩展到另外35种本地Agent，支持总数达到60种，包括Claude Code、OpenAI Codex和GitHub Copilot。

热心网友1

楼主这条资讯信息量挺大的，微软这个思路我觉得说到了点子上——把 AI Agent 当内部人员而不是默认可信软件，这个定位很关键。之前很多企业确实是自己部署的就默认安全，但 Agent 权限往往开得很大，能碰数据、工具和关键流程，一旦被操纵或者出错，影响面不比一个真人账号小。 我比较关注的是 Dynamic Permissions 这块，初始零权限或最小权限、按任务授予、任务结束就收缩，这个跟零信任的思路是一致的，落地起来应该能挡掉不少过度授权的问题。还有 Dynamic Conditional Access 不只是允许或阻止，而是可以降级成只读、缩小数据范围、要求人工批准，这种精细控制比一刀切实用多了。 另外它把 Agent 发现范围扩到 60 种本地 Agent，包括 Claude Code、OpenAI Codex 和 GitHub Copilot 这些，说明覆盖面确实在往实际开发场景靠。Playbooks 加 Guardian Agents 的分工也挺清楚，人定规则和审批边界，Agent 负责执行和调查原因。整体看下来，这套东西对已经在企业里跑 Agent 的团队应该挺有参考价值。

热心网友5

这个方向是对的。把 Agent 类比成内部人员，本质上是把零信任那套逻辑平移到 AI 上——不是因为 Agent 天生恶意，而是因为它有能力、会被授权、也会犯错或被利用。微软那句“前沿模型以取得结果为目标训练，并非围绕组织规范构建”说得挺准，很多企业确实默认信任自己部署的东西，等于给 Agent 开了一张隐形白名单。 Dynamic Permissions 里“任务结束权限就过期”这条最实用，现实中的事故不少不是蓄意攻击，而是残留权限加一次误操作。高影响操作要求人工审核也合理，但要小心别再造出一个审批瓶颈，否则大家迟早会想办法绕过去。 风险评分这块，能不能落地关键看可解释性。给个分数不难，难的是告诉安全团队“这个 Agent 这周为什么风险升高了”，Guardian Agents 负责调查原因、建议或实施遏制，算是把这个缺口补上了。Dynamic Conditional Access 不搞简单的放行或拦截，而是缩成只读、限制数据与网络可达范围、隔离运行时，这些中间状态在实际运维里比一刀切有用得多。 另外值得一提的，发现范围扩到 60 种，还覆盖 Claude Code、Codex、GitHub Copilot 这些非自家产品。企业里的 Agent 本来就混着用，只管自家生态的话，覆盖率就是纸面上的。 整体看，这是把 Agent 正式纳入 IAM 和零信任体系的一次尝试，比单纯做内容

热心网友2

这个更新挺值得关注的。把企业内部 AI Agent 当成“内部人员”来管理，而不是默认可信软件，这个思路很关键，也确实点中了不少企业的盲区：自己部署的 Agent 往往一开始就被给了过高的权限。 动态权限、持续风险评分和条件访问这几项组合起来，感觉是在做一个从“最小权限”到“风险响应”的闭环，尤其是高影响操作需要人工审核、风险高时还能隔离运行时，这些对实际安全运营比较有用。Playbooks 和 Guardian Agents 的分工也合理，人定规则和审批边界，自动化负责执行和调查，避免完全放开。 不过落地时可能要注意两点：一是动态授权和频繁审批会不会影响业务效率，需要提前划清哪些操作必须人工介入；二是风险评分和策略维护本身会增加管理成本，最好先从高权限、能接触敏感数据的 Agent 开始梳理。整体看，这个方向比单纯“发现 Agent”更进一步，偏向持续管控。