微軟近日發表一套將 AI 代理（AI agent）視為內部人員的風險防禦方法，並推出動態權限、動態風險評估與 Guardian Agents 等新功能。微軟表示，
agent 具備資料存取與行動能力後，資安團隊需持續掌握其行為，依風險限縮權限，並在它不再可信時介入。
微軟高層皆強調控管機制須獨立於模型
微軟董事長暨執行長 Satya Nadella 於 10 月 10 日在個人網誌主張，應把具備系統存取權的模型視為內部人員風險（insider risk），並把控管機制設在模型之外。原因不是模型必然惡意，而是能力強的角色都可能出錯或遭入侵。他在文末寫道：「最值得信任的超級智慧系統，不會是擁有我們最信任模型的那一個，而是讓我們最不需要信任模型的那一個。」
微軟 Windows 平台暨開發者企業副總裁 Logan Iyer 於 10 月 7 日寫道，agent 不能成為自己的安全授權者。微軟資安執行副總裁 Hayete Gallot 於 10 月 19 日稱這些 agent 為「代理式內部人員」（agentic insiders），指出它們常被賦予過高權限。
從零權限出發，風險升高就逐級收緊
動態權限（Dynamic Permissions）讓 agent 從零權限開始，只取得核准任務所需的權限，且僅在任務期間有效。組織政策設定外框，agent 不能取得使用者本身沒有的權限，高衝擊動作可要求經驗證的人工核准。
動態 agent 風險（Dynamic Agent Risk）整合身分、資料、端點、雲端、網路與執行環境等訊號，持續更新，並評估 agent 是否偏離使用者或組織的意圖。
動態條件式存取（Dynamic Conditional Access）則依風險分級回應，包括保留讀取但封鎖寫入、縮小可存取資源，最高風險時隔離執行環境或停止執行。
微軟舉例，費用核銷 agent 處理外部文件時遇到提示注入（prompt injection），並嘗試執行無關動作，風險隨之升高。系統可保留讀取、移除核准與寫入權限，並要求人工核准高衝擊步驟。
以容器限制範圍，並擴大探索
微軟執行容器（Microsoft Execution Containers，MXC）已於 10 月 7 日在 Windows 11 正式推出。開發者與 IT 人員可定義 agent 能使用的檔案與網路目的地，政策在 agent 之外強制執行，agent 無法自行擴權。在 Windows 的程序容器中，MXC 的學習模式會封鎖並記錄未授權存取，協助擬定最小權限政策。
微軟另新增探索 35 種本機 agent，總數達 60 種，包括 Claude Code、OpenAI Codex 與 GitHub Copilot。不過，Defender 的 agent 即時防護仍是預覽版，其支援矩陣在 Windows 上列出的 agent 與檢查方式組合為 10 組。
Guardian Agents 執行，人員定界
Project Perception 新增 Playbooks 與 Guardian Agents。人員制定政策與核准界限，Playbooks 定義預期的資安成果，Guardian Agents 可協助調查風險為何改變，並建議或執行圍堵。Gallot 指出，Guardian Agents 是業界既有名詞。
目前進度與導入前須知
微軟的兩篇部落格皆未說明新功能的上市時程與價格。Project Perception 的 Learn 文件（9 月 6 日更新）標示為限量公開預覽，僅限少數受邀客戶。以上皆為微軟自家說法。導入前可參考微軟文件的做法：
- 先以稽核（audit）模式觀察 Defender 偵測結果，確認準確度後再切換為封鎖。
- 以 MXC 學習模式記錄 agent 實際用到的資源，再擬定最小權限政策。
本文轉載自 微軟資安部落格、Windows 部落格、MXC 開發者部落格、Defender agent 支援矩陣、Project Perception 入門文件。