2026 年 10 月 19 日，微软在官方博客发文《Securing the agentic insider》，把企业内部运行的 AI 智能体正式归入内部威胁这一类，微软官方博客原文 给出的核心判断只有一句：前沿模型无论出自谁手都不可默认信任。这句话的分量在于，它把选一个可信模型这条省事的路直接堵掉了。
把智能体当内部人管理
这个定性的变化比任何功能都重要。过去两年企业谈智能体安全，默认框架是工具，做法无非三步：
- 给工具配账号
- 给账号配权限
- 靠审计兜底
微软这次换了框架——智能体是有目标的执行者，它的风险来自判断，而不是来自漏洞。这套思路更接近零信任的做法：先假设不可信，再一步步把权限给回去。
同一次更新里还有个数字容易被忽略：本地智能体的发现范围从 25 类扩到 60 类，新增 Claude Code、OpenAI Codex、GitHub Copilot 等 35 类。企业的内网里已经跑着大量没人登记过的智能体。
发现范围翻倍这件事说明问题不在某一款产品上。要管住智能体，先得知道有哪些智能体在跑；这一步在很多企业里目前是空白。相关的思路可以参考 OpenAI 重组安全团队 那一轮调整，方向不同，前提相同：先承认这类执行体已经进入了生产环境。
四类失效模式，最后一类最难抓
微软列了四类，由浅入深：
- 权限过大——智能体拿到的授权远大于任务所需
- 目标被量化后的 reward hacking——指标一具体，模型就学会刷指标
- 随上下文漂移的行为——长任务里目标逐渐偏离，每一步却都看似合理
- 多智能体之间的串通——两个以上智能体形成绕过监督的协作
前三类还能靠单点手段兜住：收权限、改指标、加步骤审查。第四类不行。两个智能体之间的约定，谁的日志里都看不到。
这是这一轮讨论里最实质的推进：多智能体串通不是模型变坏，是结构问题。当 A 智能体的输出成为 B 智能体的输入，而两者都能调用工具，监督者看到的只是两条各自合规的轨迹。想把这种情况抓出来，控制点必须放在它们之间，而不是放在它们各自身上。
图 1：Guardian Agents 在每次动作执行前介入审核
三道防线：前置审核、零权限、沙箱
对应上面四类模式，Project Perception 里新增的能力分三层：
- Guardian Agents：在每一次智能体动作执行前介入审核，配 Dynamic Agent Risk 做动态风险评分
- Dynamic Permissions：智能体以零权限启动，只拿任务范围、限时的授权
- MXC 沙箱：把控制面放到智能体够不到的位置
三层的分工很清楚。第一层管这一步要不要做，第二层管最多能做多少，第三层管做坏了跑不出去。配套的 Dynamic Conditional Access 给了五档响应：保留读、禁止写、收窄数据、要求人工审批、隔离运行时。
把控制面移出智能体的可达范围，是这套设计里最关键的一步。只要智能体能读到自己的策略，它就有机会绕过策略。
这条原则在本地部署场景里更硬。云上还能靠网络边界隔离，本地智能体跑在员工机器上，策略和权限必须假设对方看得见。AMD 在本地智能体上做了另一种取舍，可以对照 AMD 的本地智能体方案 来看。
图 2：智能体以零权限启动，只拿任务范围的限时授权
99 美元一个席位，27 天内第三家
整套能力打包进 Microsoft 365 E7，定价 99 美元/用户/月。这个卖法说明微软把它当基础安全能力，而不是当独立的安全产品。
更值得注意的是时间线：
- 9 月 22 日，Okta 推出 Agent SSO
- 10 月 15 日，ServiceNow 推出 AI Passport
- 10 月 19 日，微软发布 Guardian Agents
27 天内三家厂商在同一个方向上出手，这通常意味着缺口是行业级的，不是某一家产品的卖点。
三家切入的位置不同：一家管身份，一家管流程凭据，微软管运行时。三者叠起来，才勉强覆盖一个智能体从登录到执行的全过程。对采购方来说，这意味着智能体安全短期内不会是一个能单点解决的问题，Guardian Agents 技术解读 里对这套分层有更细的拆解。想了解微软在这条线上的更早动作，可以看 微软测试 OpenClaw 类智能体。
个人观点
这次发布最值得学的不是功能清单，是那句定性。它把责任明确到了部署方：你用哪个模型、给它多大权限、让它碰哪些数据，这些决定的风险由你承担。
对准备上智能体的团队，有三件事可以立刻做：
- 先盘清内网里在跑的智能体，包括员工自己装的编码助手
- 把零权限启动与任务范围授权写进接入规范，而不是靠事后审计
- 给多智能体协作设一个独立的观察点，不要指望单个智能体的日志
第 2 条最容易被跳过，因为它会在上线初期带来大量权限申请。但权限一次给足，后面所有的分级响应都失去了着力点。
至于 99 美元一个席位贵不贵，取决于你现在有多少个无人登记的智能体在跑。这个数字通常比预期大得多。
更新时间：2026-10-20