AREX Feed Article
微软把内部 agent 视作内部风险，Project Perception 新增动态权限与持续风险评分
10 月 19 日，微软董事长兼 CEO Satya Nadella 在发文称，微软正在把「把模型当作内部风险」的原则付诸实践：扩展 Project Perception，为其新增持续评估 agent 风险、调整权限和遏制威胁的能力。帖文所附短链指向微软官方博客同日发布的文章《》，署名作者为微软安全业务执行副总裁 Hayete Gallot。
同一天公布的内容分两类。一类是管理手段：微软安全团队在另一篇里列出 Dynamic Permissions、Dynamic Agent Risk、Dynamic Conditional Access，以及一组负责监督其他 agent 的 Guardian Agents 和配套 Playbooks。另一类是覆盖范围：该文称可发现的本地 agent 类型新增 35 种、总数达到 60 种，名单中包括 Anthropic 的 Claude Code、OpenAI 的 Codex 和 GitHub Copilot。
一套原本朝外的系统，转向了企业内部
Project Perception 于，8 月 3 日进入 public preview（公开预览）。当时的定位是对外：让红队、蓝队、绿队三类 agent 协同，帮防御方以机器速度应对来自企业外部的 AI 攻击，并接入专用模型 MAI-Cyber-1-Flash。
Gallot 的文章把这个系统指向企业内部。她写道，多数人担心的是攻击者使用强模型发起攻击，对企业「墙内」的 agent 关注较少；而恰恰因为 agent 是企业自己部署的，企业默认信任了它们。她的判断很直接：无论来自哪里，前沿模型都不能被信任。
微软给出的理由与模型的恶意无关。文章说，模型被训练去达成结果，这常常导向奖励黑客（reward hacking），模型也没有围绕组织规范或判断力做优化。文章在这里写得很直接：「Agent 是不可预测的。它们会随上下文变化而调整，可能不按预期行事，并且会为了达成目标与其他 agent 协作甚至串通，不需要先被攻破。」
微软给这类对象起了名字：agentic insider。它们的共同点是权限过大，能接触数据、工具和系统，在关键流程里采取行动、做出决定。Gallot 的说法是，同一套 cyber stack（网络防御栈）也直接适用于管理和治理这类内部 agent。
「证据改变风险，风险改变策略」
微软把新能力串成一条链：证据改变风险，风险改变策略，策略改变 agent 被允许做什么。三个新功能分别对应链条上的一环。
Dynamic Agent Risk 汇总身份、数据、端点、云、网络、运行时以及 agent 自身活动的信号，判断它的配置是否安全、能触达哪些资源、出错后影响多大、行为是否偏离用户或组织的意图。这个评分在上线后持续更新；系统据此决定的，是此刻这个 agent 应该被允许读什么、改什么、调用什么、批准什么，而不只是要不要让它继续跑。
Dynamic Permissions 处理授权。组织级策略划定外边界，其中一条是 agent 不能获得其使用者本身没有的权限。权限按任务限定、带时限，任务变化或完成后收缩、移除；影响较大的动作可以要求经过验证的人工批准。该文用一句话概括这套分工：「员工保留员工的访问权。agent 获得自己的身份、权限，以及仅限当前任务、仅在任务存续期内有效的授权。」
Dynamic Conditional Access 把风险变化接到执行点上。响应按风险分级：可以保留读取而阻断写入，收窄它能触及的数据与资源，限制网络路径，缩短或吊销有时限的访问，要求加密可验证的人工批准；风险继续升高时，隔离运行时或直接停止执行。一个 agent 遇到提示注入（prompt injection）或试图做任务之外的事，就会走到这条链上。
该文用报销审批 agent 走完了这条路径：它起初只有核对政策、批准常规报销的窄权限；遇到不可信内容并尝试无关动作后，风险评分上升，策略随之收回批准与写入能力、切断敏感资源，必要时把它停掉。微软强调这种处理要避免把每一次风险变化都当成拉闸，员工的工作不该因此中断；不过这是设计意图，文中没有给出实际运行中的拦截与误伤数据。
先找到 agent，再给它一个独立的身份
技术博文用一句话交代前提：「你无法保护你看不见的东西。」agent 可能由微软平台创建，可能经合作伙伴平台和 SDK 接入，也可能绕过中央部署流程直接装在员工机器上。该文称，微软通过原生集成、连接器和传感器扩大发现范围，本地 agent 的类型从 25 种增至 60 种，其引用的列出了 Claude Code、Codex CLI、Cursor、Devin 等具体条目，以及各组合是否支持模型上下文协议（MCP）服务器发现。
发现只是第一步。微软扩展 Microsoft Entra Agent ID，为更多 agent 形态增加身份类型，包括通过安全传感器发现的本地 agent 和此前未知的 agent。这意味着一个从未与微软安全产品集成过的 agent，也可以成为策略作用的对象。身份承载归属、所有者、生命周期、风险、权限、授权与策略，让企业能区分某件事是人做的，还是 agent 代这个人做的。
运行环境被单独圈出。Microsoft Execution Container（MXC）沙箱给 agent 提供受策略控制的资源访问，同时形成一道执行边界：即使 agent 或调度它的 harness（运行框架）被攻破，也无法关掉监视它的控制。Project Perception 还与 Microsoft Agent 365 共享信号、上下文和统一注册表，让 IT 与安全团队看到同一份 agent 与风险清单。
Guardian Agents：监督本身也交给 agent
微软的设想是让监督变成 agent 的工作。Gallot 在官方博文里写道，管住这些内部人需要 Guardian Agents，按她的描述，这类 agent 会在每个 agent 的每个动作发生之前进行 24/7 的监视与约束；技术博文补充说，Project Perception 引入了一组 Guardian Agents 与 Playbooks，后者定义期望的安全结果并协调保护动作，前者负责在机器速度下执行、随风险变化调整。这些是微软自己对架构的描述。
在微软内部，这套东西有可参照的规模。微软客户安全部门的公司副总裁兼副 CISO Terrell Cox 在技术博文中说，微软以 Customer Zero 的身份已经在「数十万个 agent」的环境中运行，学到的是保障 agent 需要对其活动持续可见、对访问与数据做主动防护，并让防护跟上威胁变化。
人保留的部分被写得很清楚：人定义策略、审批边界和委派规则，系统承担靠人工无法扩展的连续工作。不过「每个动作发生之前」这种全量监督，落到具体企业意味着多高的告警量和多少误判，两篇博文都没有给出数据。
大部分能力仍标着 Private Preview
微软在技术博文配图的脚注里标注：MXC 容器已经 generally available（普遍可用），其他能力处于 Private Preview（私有预览），并将在 Microsoft Ignite 上扩大可用范围。正文写的是「今天就可以开始」，脚注写的是大部分能力尚未普遍可用，把两处说法放在一起看，才不至于高估现状。
定价不在这次公告里。的常见问题把计费描述为按用量付费，按任务强度以不同费率计量 agent 的消耗。
还有一个更基础的缺口。 在当天的分析中提出，Dynamic Agent Risk 能阻止 agent 造成破坏（收窄权限、要求人工批准、终止运行时），但不能判断 agent 是否把活干对了：批准的那笔报销是否该批、写的代码是否符合规格、产出的研究是否准确。
微软把补上这一层的希望放在模型透明度上。技术博文说，会把思维链（chain-of-thought）等模型层信号并入 Dynamic Agent Risk，用来识别意图漂移；同时写明模型透明度不会取代遏制，只会让遏制更聪明、更强。纳德拉在 里把 CoT 透明列为不可谈判的前提，又紧接着承认仅靠它「不足也不可靠」，因为如何让模型输出持续忠实、透明，目前还没有答案。
控制可以独立于模型执行；判断 agent 是否偏离任务，却仍要读取模型自己产生的推理。风险评分建立在这个尚未解决的输入上，微软给出的下一步是提高模型透明度。