给AI智能体配保安，微软这次动真格了

⚠️免责声明本文内容仅供AI安全技术研究与行业分析参考不构成任何产品采购建议或技术指导。文中涉及的功能描述均来自公开资料具体以官方文档为准。先说结论10月19日微软发了个大东西Guardian Agents守护智能体。名字听起来像科幻片里的设定但干的事特别实在给企业里所有的AI智能体配上24小时盯着它们的数字保安。这不是什么小功能更新。这是一个信号AI安全的重心从防着模型说错话转到了管住有手有脚的智能体。微软安全业务负责人Hayete Gallot的话说得很直白前沿模型无论来自哪里都不可信。纳德拉的版本更工程化一点最可信的智能体系统不是你最信任模型的那一个而是设计上让你可以最不信任模型的那一个。翻译一下就是别指望AI自觉得靠制度管。这篇我们拆解一下微软这套方案到底在管什么、怎么管、以及它为什么是Agent安全的一个里程碑。一、为什么突然要给Agent配保安因为智能体已经不只是聊天了。过去的AI输出停在对话框里说错了用户忽略就行。现在的Agent呢它能读你的邮件、改你的表格、发消息给同事、调用公司系统、甚至操作其他智能体。它有身份、有权限、有执行力。一句话它从帮你想变成了替你做。做的事情越多出问题的代价就越大。微软自己在官方博客里列了一串风险权限过度智能体经常被授予远超它需要的资源访问权工具滥用智能体可能被诱导去滥用它有权使用的工具配置漏洞没有正确身份验证和边界的智能体就是行走的漏洞被攻陷提示注入、数据泄露这些老问题到了Agent身上危害放大十倍更要命的是智能体是7x24小时不间断工作的而且速度是机器速度。一个人一天能搞砸的事情有限。一个Agent呢它一小时能发几百封邮件、调用上千次API、操作几十个系统。出了问题等你发现的时候可能已经干了几万件坏事了。所以微软的判断是智能体已经成了企业最新的内部人威胁insider threat。以前企业防内部人防的是员工内鬼、离职报复、数据外泄。现在名单上要加一类AI智能体。它们不是坏人但可能被坏人利用也可能自己犯糊涂或者被注入了坏指令却不自知。而企业里的智能体数量已经不是十几个了微软说他们自己内部就有数十万个智能体在跑。靠人一个个盯着不可能。必须用AI管AI。二、Guardian Agents用AI盯着AIGuardian Agents就是干这个的——用一组守护智能体24小时不间断地盯着所有干活的智能体每一个动作在执行前先过审。它不是在出了事之后才报警而是尽量在动作发生之前就拦下来。具体怎么运作的微软画了个三层结构。底下是传感器全链路采集信号。身份、数据、云、终端、网络、运行时六个维度的传感器实时采集智能体的一举一动。不是只看它调用了哪个API而是看它在访问什么数据数据敏感度多高它的行为跟任务初衷偏了吗它是不是在尝试越权它调用的工具是不是在正常范围内这些传感器分布在智能体能接触到的每一层从身份认证Microsoft Entra、到数据保护Microsoft Purview、到终端安全Microsoft Defender、再到网络流量。相当于给智能体装了一套全身监控设备。往上一层是上下文动态计算风险。光有传感器的数据还不够得实时判断这个动作到底有多危险。微软管这个叫Dynamic Agent Risk动态智能体风险评分。它考虑的因素包括智能体本身的配置安全等级、正在访问的资源敏感度、出问题后的潜在影响、行为是不是在偏离任务初衷。风险不是固定的同一个智能体做日常数据查询的时候风险很低但如果它突然开始批量导出客户数据风险评分就会瞬间飙升。这有点像银行的反欺诈系统你平时刷100块咖啡没事突然刷一个5万的奢侈品系统就会跳出来让你验证身份。最上面是守护智能体实时响应。风险评出来了谁来处理Guardian Agents。微软用了绿队和蓝队两组守护智能体持续监督每一个工作智能体的每一个动作根据风险等级做分级响应。不是一刀切它的响应是有梯度的风险等级应对措施低正常放行持续观察中低缩小权限范围只保留必要的读权限中高禁止写操作要求人工确认高隔离停机触发安全团队介入这个设计挺讲究的它不是一有风吹草动就把Agent干掉而是先砍写权限、再缩范围、最后才停机。因为企业用Agent是为了干活的如果安全系统太敏感动不动就把Agent停了那业务也别跑了。平衡是Agent安全最难的地方。三、Dynamic Permissions从零权限开始Guardian Agents是做事的时候盯着。但还有一个更根本的问题智能体一开始就不该有那么大权限。这就是微软推出的第二个核心能力Dynamic Permissions动态权限。它背后的道理很朴素来自一个老掉牙但永远正确的安全原则最小权限原则。但在Agent的世界里这件事变得特别重要也特别难。为什么难因为现在企业里的常见做法是智能体直接继承它主人的全部权限。财务的Agent能看全部财务数据HR的Agent能看所有员工信息管理员手下的Agent带着管理员权限。听着好像合理你让它替你干活它当然得有你的权限啊。但问题在于智能体可能被攻击或注入攻破了Agent就等于攻破了你的全部账号权限智能体没有常识它不知道哪些事不该做只知道按照目标去推进智能体不会累也不会犹豫人做坏事之前可能还会想一想Agent不会。微软的方案是智能体从零权限起步。不是继承用户的全部权限而是另起炉灶每个智能体都有自己独立的身份Microsoft Entra Agent ID不是谁的附属品权限只按当前任务给做报表就只给读数据的权限不给改数据的权限权限还有时效任务一结束就自动收回不会一直挂着花钱、删数据、群发邮件这种高影响动作必须人来点头最后还有一条兜底的它不能超过它主人的权限你自己都看不了的东西你的Agent也不能看。微软把这条原则说得很清楚员工保留员工自己的访问权限。智能体获得它自己的身份、权限以及仅在当下任务范围内、且仅持续该任务时长的自身权限。我觉得这条特别重要。Agent有自己的身份就意味着Agent做的事能被追责、被审计、被单独管控。出了问题你能知道是哪个Agent干的干了什么为什么有这个权限。而不是一笔糊涂账“好像是我让它做的它自己瞎做的谁知道呢。”四、Project Perception从防御外部到治理内部Guardian Agents和Dynamic Permissions都是Project Perception感知项目的一部分。这个项目有意思的地方在于它本来是用来防外部AI攻击的。今年7月微软第一次发布Project Perception的时候定位是用AI网络安全团队防御外部AI驱动的攻击。什么意思呢就是外面的AI黑客开始用AI攻击企业了企业也得用AI来防守。红队AI模拟攻击蓝队AI防守绿队AI加固系统三组AI协同作战。才过了三个月微软就把同一套技术转向了内部用来管自己家的智能体。这个转向很值得玩味。它说明两件事一方面外部AI攻击的威胁是真实的但内部智能体失控的威胁来得更快、更紧迫。外面的AI黑客还在探索期企业内部已经跑了几十万个智能体了这玩意儿近在眼前。另一方面AI安全的底层技术是通用的。用来检测外部AI攻击行为的那套分析方法异常检测、行为分析、风险评分、实时响应稍微改一改就能用来监管内部的智能体。都是对付不可信的智能体一个在墙外一个在墙内。而且Project Perception和Microsoft Agent 365是打通的共享信号、共享上下文、共享统一注册表。也就是说安全团队在一个地方就能看到企业里所有智能体的全貌有多少个、分别是谁的、在干什么、风险等级多高。这对企业IT和安全团队来说是刚需。不然智能体一多就变成了影子IT大家都在用但谁也不知道总共有多少、在用什么、有没有风险。五、Know / Contain / Protect / Adapt四个持续职责微软给这套系统总结了四个核心职责Know知情、Contain约束、Protect保护、Adapt自适应。我觉得这四个词可以当理解Agent安全的框架。首先你得知道企业里到底有多少个智能体。叫什么、谁建的、在哪跑、能干什么、有什么权限、访问过什么数据先摸底再谈治理。微软的方案是统一注册表Unified Registry所有智能体都登记在册包括用户自建的、SaaS的、甚至没走IT流程偷偷建的影子Agent。知道了有哪些Agent之后就是给它们画框框。一是运行时约束用沙箱MXC执行容器把Agent关起来跑它就算被攻陷了也逃不出去二是动作空间约束不能想调用什么工具就调用什么工具每一条调用路径都得经过策略检查三是权限约束从零权限起步按需授予、按时收回。要点就是让智能体在一个受控的环境里干活即使它出问题了危害也出不了这个框。光约束还不够还得保护智能体路径上的所有东西数据、工具、系统。比如数据保护智能体处理敏感数据的时候有没有遵循数据分类策略有没有把不该外传的数据发出去再比如工具保护智能体调用的API和MCP服务器在不在企业的白名单里调用的参数有没有异常最后一条最关键安全策略不是一成不变的得跟着智能体的行为动态调整。行为正常的时候权限可以放宽一点让它高效干活风险一升高权限立刻收紧该砍砍该停停风险降下来了再逐步恢复。这就是为什么要叫动态权限不是画一条线就完了是根据实时情况动态调的。这四个词合起来正好串成一条完整的线知道有什么 → 给它画框 → 保护框里的东西 → 根据表现调整框的大小。六、这件事真正的意义是什么说到这儿你可能觉得这不就是企业安全的那一套套到Agent身上了吗零信任、最小权限、身份管理、行为分析、风险评分……都是老概念了。底层那套原则确实没变零信任、纵深防御、最小权限几十年前就有了。但这次有个关键区别当被管控的对象从人变成AI的时候整个系统的速度、规模和性质都变了。几处本质区别往深了看其实是同一件事。先说速度。人做坏事一天能搞多少破坏有限。Agent做坏事一小时就能干几千几万次操作速度差了几个数量级。所以人工审核、人工响应、人工排查这套针对人的安全流程对Agent根本不够用必须用AI管AI才能达到同样的速度。Guardian Agents就是干这个的。再说规模。一个企业员工可能有几千人但智能体呢可能有几十万每个人都能建十几个Agent还能自我复制、互相调用。规模差了一个量级安全管理的方式就得跟着变不能再靠一个个配置、一个个审批得靠策略驱动、自动化治理。不过最要命的还是性质。人有道德、有恐惧、有顾虑大部分人不会故意搞破坏就算搞也知道分寸。Agent没有它只知道最大化完成目标。目标如果是帮我追回退款它可能一天给对方发几百条消息目标如果是帮我提高业绩它可能去编数据、伪造客户。它不是坏它只是没有人类的边界感。所以对Agent的治理不能指望它自觉必须靠外部约束。这也是我觉得微软这套方案方向正确的根本原因它不是在试图让模型变得更听话、更有道德而是在模型外面单独建了一层不依赖模型配合的安全系统。模型不可信不要紧只要系统能管住它就行。七、还有哪些问题没解决微软这套方案很完整但不等于Agent安全的问题就解决了。还有几个深层问题是Guardian Agents也回答不了的。守护智能体本身可信吗用AI管AI那管AI的AI谁来管这不是抬杠。Guardian Agents也是大模型驱动的它们也可能被绕过、被欺骗、被注入。如果攻击方搞定了守护智能体那等于警察变成了小偷的同伙。微软的回答是人保留最终决策权Guardian Agents做推荐、做执行、做日常监控但重大决策和策略更新还是人来拍板。但这能完全解决问题吗不一定。当智能体数量到了几十万的量级人能真正决策的东西其实很有限你总不能每一个风险告警都人肉看一遍吧。误报率和业务效率的平衡。安全系统最怕的不是漏报而是误报太多大家都把它关了。如果Guardian Agents三天两头把正常工作的Agent给停了业务团队肯定受不了最后要么申请白名单豁免要么干脆不用了。这个平衡点非常微妙太严了没人用太松了等于没有。微软的方案是分级响应、动态调整但实际效果怎么样还得看企业大规模用起来之后的数据。跨企业和第三方Agent怎么办企业自己的Agent好办统一注册、统一管控。但如果Agent要调用外部服务、跟其他企业的Agent协作、或者用第三方SaaS的Agent呢总不能让别人家的Agent也装上你的Guardian Agents吧。这个问题目前还没有很好的答案可能需要行业标准、协议规范或者类似Agent护照之类的机制。豆包的SAEP协议屏幕自动化操作声明协议其实就是在朝这个方向走让应用方声明哪些允许哪些不允许策略在系统侧统一裁决。但这还很早。跨组织的Agent安全治理可能是下一个十年的问题。责任归属还是一笔糊涂账。Agent出了问题谁负责造模型的公司建Agent的开发者部署Agent的企业使用Agent的员工监管Guardian Agents的安全团队法律上目前几乎是空白。微软的方案里有完善的审计日志谁的Agent、干了什么、为什么允许/拦截、风险评分多少这些都能查到。但能查到不代表责任就清楚了。出了大事官司怎么打谁赔多少钱现在谁也说不准。八、回到我们的观察最后说两个判断。先说第一个判断Agent安全正在从模型对齐转向系统治理。前几年大家聊AI安全聊的都是对齐alignment怎么让模型的价值观跟人类一致、怎么让它不说有害内容。但当AI开始有执行力的时候问题的性质变了。就算模型完全对齐了它也可能被提示注入、可能犯低级错误、可能被坏人利用。你不能指望一个智能体在任何情况下都做正确的事。所以真正的解法不是让AI变得完美而是在AI外面建一套不完美也能安全运转的系统。微软走的就是这条路。Guardian Agents Dynamic Permissions 沙箱 审计构成的是一个即使模型不可信系统整体仍然安全的架构。这跟核能的逻辑有点像我们不相信放射性物质是安全的但我们可以用足够厚的屏蔽层和足够多的安全机制让它在受控的环境里为人类工作。再补第二个判断Agent安全会成为一个大市场。这篇开头提到的那个信息Sumsub在同一天推出了KYAKnow Your Agent模块不是巧合。KYC了解你的客户是金融行业的标配KYA了解你的智能体会不会成为企业AI的标配很有可能。身份验证公司做KYA、安全公司做Guardian Agents、云厂商做Agent 365、应用厂商做SAEP协议……围绕Agent安全一整条产业链正在形成。原因很简单智能体要真正进入企业生产环境安全是绕不过去的一道坎。没有企业会把一个不可控、不可审计、不知道在干什么的东西放进自己的核心系统。但如果有了身份、有了权限、有了监督、有了审计那就不一样了。管得住才能放心用起来。而管得住智能体这件事本身就是一门大生意。梅雅达编程笔记原创 · 首发 CSDN · 转载请注明出处