导语：大厂首次系统性把内部智能体当作 " 内部威胁 " 治理，智能体安全从政策文档走向执行时拦截。
摘要
微软把内部智能体正式纳入 " 内部人风险 " 框架来治理。核心原则来自 Satya Nadella：必须把 " 智能的供给 " 与 " 对智能的权限 " 分离，不得让模型成为自身的安全权威。文章提出四项持续职责 Know / Contain / Protect / Adapt，并宣布本地智能体发现新增 35 种类型（总数达 60 种，含 Claude Code、OpenAI Codex、GitHub Copilot）、Dynamic Permissions（从零权限起步、任务与时限双限定）、Dynamic Agent Risk 与 Dynamic Conditional Access，以及在 Project Perception 内新增 Playbooks 与 Guardian Agents。
正文（译文）
智能体正在迅速成为完成工作的一部分。它们能支撑从写代码、调研产品，到分析营收、处理报销、在支撑业务运转的系统上采取行动等一系列活动。要发挥最大价值，它们往往需要访问公司数据、应用、工具以及其他智能体。这种访问让智能体更能干，而能力也可能带来内部人风险。
这并不意味着智能体天生恶意。它们是能干的工具，可能被用户授予对重要系统的访问权限。它们会犯错、被操纵或被攻陷。它们的模型输出可变，上下文会变化，计划在运行过程中会演化。一个在任务开始时按预期运行的智能体，可能随着上下文或输入变化而做出不同响应。取决于设计与部署方式，智能体可以以机器速度和规模持续运行。
微软董事长兼 CEO Satya Nadella 最近描述了这个新时代所需的信任架构：我们必须把智能的供给与对智能的权限分离。我们不应要求一个模型成为它自己的安全权威。决定它能访问什么、能采取什么行动、是否应继续运行的控制，必须位于模型之外，处在模型无法绕过或篡改的位置。
" 最值得信赖的 agentic 系统，不会是我们最信任其模型的那个，而是被设计成让我们可以最不信任其模型的那个。" —— Satya Nadella
Project Perception ——保护你的 agentic 内部人
我们推出了 Project Perception 和微软网络安全栈，帮助组织用智能体来防御。今天，我们把 Perception 扩展到保护 agentic 内部人。Guardian Agents 帮助安全团队以机器速度和规模持续运作，而贯穿整个安全栈的传感器、上下文与执行器则帮助理解不断变化的智能体风险，并持续自适应地调整防护。Project Perception 与 Microsoft Agent 365 共享信号、上下文和统一注册表，让 IT 与安全团队对智能体和风险有一致视图，并各取所需的控制能力。
这建立在一个简单的安全原则之上：用确定性的控制、独立的证据和 containment 边界，把非确定性的智能包围起来。假设智能体可能失败或被攻陷。持续观察它。在它行动之前最小化并定制其权限。并随风险变化持续调整这些权限。
这需要在身份、权限、数据、端点、网络、云与运行时上提供保护。该系统有四项持续职责：
这不是四个产品，也不是顺序阶段，它们协同运作。证据改变风险，风险改变策略，策略改变智能体被允许做的事。
以一个报销审批智能体为例。它可能需要读取报销申请、核对政策、批准例行报销，但不应该继承发起它的员工的所有权限。它的身份、运行时、访问路径与任务范围的权限，应当从一开始就明确。如果它后来遭遇提示注入、或试图执行该任务之外的动作，系统应当做出相称的响应：保留安全读取、阻断写入，收窄它可达的资源，对关键步骤要求可验证的人工审批，或在风险需要时隔离并停止该智能体。这就是持续 containment 在实践中的样子。
发现每一个智能体，并给它一个可追责的身份
你无法保护你看不见的东西。智能体可以通过微软平台创建、通过合作伙伴平台与 SDK 集成，或在本地被引入而没有集中部署流程。微软安全通过原生集成、连接器以及贯穿安全栈的传感器，来发现更大范围的智能体资产。
我们正把发现能力扩展到新增 35 种本地智能体类型，使受支持的本地智能体总数达到 60 种，其中包括 Claude Code、OpenAI Codex 与 GitHub Copilot。无论以何种方式被发现，组织都可以把这些智能体纳入统一注册表，以了解归属、活动与风险。
发现告诉你一个智能体存在；身份则给安全与治理系统一个持久的锚点来控制它。
每个智能体都应拥有区别于使用或发起它的人的一等身份。我们正在扩展 Microsoft Entra Agent ID，为更多智能体形态增加身份类型，包括通过安全传感器发现的本地与先前未知的智能体。这意味着即便一个智能体最初并未与微软安全集成，它也能成为策略对象。智能体身份锚定了归因、归属、生命周期、风险、权限、授权与策略，企业因此能区分 " 人做了什么 " 与 " 智能体代这个人做了什么 "。
在智能体行动之前限制它能做什么
能发现并识别一个智能体是必要的，但只是开始。我们需要理解该智能体在企业环境中可能造成的影响。下一步是在运行时、通向工具与资源的路径，以及它可行使的权限上给它划定边界。
限制运行时：模型与 harness 应在受控环境中执行，而不是继承对设备的完全特权访问。Microsoft Execution Container（MXC）这类沙箱，以策略控制的方式提供智能体完成任务所需资源的访问。它们也创造了一个执行边界，使安全控制与可观测性能够在智能体触及范围之外运作。如果智能体或 harness 被攻陷，它不应能关掉正在监视它的控制。
控制动作空间：一个智能体不应可以自由调用它能找到的任何工具、API、MCP 服务器、资源或其他智能体。本地、网络与数据控制必须中介这些路径、观察调用并执行企业策略。只控制目的地是不够的。安全还必须理解流入与流出智能体的内容，包括其敏感度、来源，以及不可信数据是否正在影响智能体行为。
从零权限或最小权限起步：几十年来我们一直把零信任与最小权限用在人身上。智能体让这些原则更加重要。一个智能体不应自动继承其用户的全部常设访问权限。它应从零权限起步，只获得已批准任务所需的东西，且只在任务所需的时间内持有。
为此，我们推出 Dynamic Permissions。组织级策略设定外部边界，包括阻止智能体获取其用户都不具备的权限。权限随后可以按任务范围划定、带时限，并随任务变化或完成而收缩或移除。更高影响的动作可以要求经过验证的人工审批。
" 员工保留员工自己的访问权限。智能体获得它自己的身份、权限，以及仅在当下任务范围内、且仅持续该任务时长的自身权限。"
随智能体风险变化调整防护
最小权限降低了暴露面，但并未消除风险。一个报销审批智能体可能以恰当的访问权限开始任务，然后在一份外部文档中遭遇提示注入。它的配置没有变，但它的行为和风险变了。
对人类用户而言，检测与响应之间的延迟或许可以接受。对一个以机器速度运行的智能体而言，这可能就是 " 被 containment" 与 " 造成实际影响 " 之间的差别。安全系统必须能够理解发生了什么变化，并在人手工排查每一条信号之前就行动。
这正是我们推出 Dynamic Agent Risk 和面向智能体的 Dynamic Conditional Access 的原因。
Dynamic Agent Risk：它综合来自身份、数据、端点、云、网络、运行时以及智能体自身活动的信号，考虑智能体配置的安全程度、它能触及的资源、出问题时的影响规模，以及它的行为是否正在偏离用户或组织的意图。其结果不是入职时打一次分就完事，而是对智能体当前风险、以及它当前权限是否仍与该风险匹配的持续更新理解。问题不只是 " 该不该让它运行或停止 "，而是 " 此刻它应该被允许读什么、改什么、调用什么或批准什么 "。
Dynamic Conditional Access：它把 Microsoft Entra Conditional Access 扩展到智能体，使风险变化能驱动多个执行点的协同动作。响应是分级的，不是二元的。策略可以降低权限、保留读取同时阻断写入、收窄智能体可达的数据与资源、限制网络路径、缩短或撤销带时限的访问，或在关键动作发生前要求可证明的人工审批。在最高风险等级，它可以隔离运行时或彻底停止执行。
回到那个报销智能体。它一开始只被授予在政策范围内审阅与批准报销的窄权限。当它遭遇不可信内容、并试图执行无关动作时，新证据抬高了它的 Dynamic Agent Risk。策略做出相称响应：保留读取权限、移除批准或写入能力，阻断对敏感资源的访问，并对高影响步骤要求可加密证明的人工审批。如果风险继续上升，系统可以隔离运行时或停止执行。员工保持高效，智能体被约束，而不必把每一次风险变化都当成一次 " 拉闸 "。
用 Guardian Agents 规模化保护 agentic 系统
随着组织部署成千上万、乃至数十万个智能体，人工分派每一条告警、协调每一次响应是不具备扩展性的。保护智能体这件事本身必须变得 agentic，同时仍处在人设定的边界之内。
这正是我们在 Project Perception 中推出新的 Playbooks 与一支 Guardian Agents 团队的原因。人定义策略、审批边界与委派规则；Playbooks 定义期望的安全结果并协调防护动作；Guardian Agents 以机器速度执行这些工作，并随智能体活动、风险、安全上下文与组织策略变化而自适应。
Guardian Agents 可以帮助团队理解风险为何变化、调查相关证据、建议或施加 containment，并用学到的东西加固策略。这不是把判断外包出去。人保留对目标和关键决策的控制，系统承担的是那些无法通过人工运维扩展的持续性工作。
" 智能体只有在能被大规模信任时，才会被大规模采用。在微软，我们已经运行在拥有数十万个智能体的世界里。作为 Customer Zero，我们学到：保护智能体需要对智能体活动的持续可见性、对访问与数据的主动保护，以及与不断演化的威胁同速的自适应防护。这些经验直接塑造了我们正在交付、用于帮助每个组织放心采用智能体的创新。" —— Terrell Cox，微软客户安全事业部企业副总裁兼副首席信息安全官（Deputy CISO）
把 containment 延伸到模型本身
随着模型透明度提升，它创造出一类新的安全证据。思维链（chain-of-thought）与其他模型层信号，可以帮助识别意图漂移、判断不可信信息是否正在影响推理、以及检测智能体计划中的动作是否偏离了它被交付的任务。
我们正把这种更深的证据，连同来自整个安全栈的信号一起，纳入 Dynamic Agent Risk。这建立在 Satya Nadella 的原则之上：提高对模型的透明度，同时让安全决策与执行独立于模型。
更高的模型透明度，让安全系统有更深证据来发现可疑行为、并为 Dynamic Agent Risk 提供依据。但核心安全原则不变：模型不能成为它自己的安全边界。独立系统必须观察包括模型在内的每一层，并最终决定和执行系统被允许做什么。
这些不是彼此分离的支柱。它们让同一个 containment 架构变得更强：更好的证据、更强的保证、更准确的风险、更有效的防护。
更快前进的底气
组织采用智能体，是为了更好服务客户、更快解决问题、把人的时间还给最重要的工作。目标不是在模型能被使用之前就让它变得完全可预测，而是构建这样的系统：即便模型不可预测，系统依然安全。
这需要清晰的责任划分。模型供给智能。人与组织保留权限。独立的控制确立身份、限制特权、保护数据、保全证据、containment 不安全动作。安全持续重估风险，并在智能体工作的同时自适应地调整防护。
你不应该在创新与安全之间做选择。
这就是我们努力的方向：一个 agentic 的世界，组织可以放心地让智能发挥作用，因为安全能够以同样的速度观察它、治理它、约束它。
（文章为作者独立观点，不代表艾瑞网立场）
