面向企业AI内部威胁的微软Guardian Agents

Guardian Agents 不会等待事件发生才采取行动。它们是专门用于监督和调节其他所有代理每一个操作的AI代理层，在操作执行前持续进行干预 ^[4]。触发条件是代理风险评分的变化：一旦发生这种情况，Guardian Agents 将展开调查，并可建议或自行实施遏制措施，而人类仍通过操作手册保留策略控制权 ^[2]。

三项机制承担实际工作。动态权限从一开始就赋予代理完全无权限——它只能获得任务范围限定、有时限的权限，且随着任务变化，权限会缩小或失效；同时，它永远无法超越其所服务的人类用户的权限 ^[3]。动态代理风险是这一控制机制背后的持续更新评分：它结合身份、数据、终端、云、网络和运行时信号，以及代理行为偏离用户或组织意图的程度 ^[3]。动态条件访问则将该评分转化为分级执行措施——保持读取权限的同时阻止写入、缩小可访问数据范围、缩短限时访问，或在极端情况下隔离代理运行时或直接终止其运行 ^[3]。一个独立的微软执行容器在代理自身环境之外运行此监控，因此被攻陷的代理无法简单地关闭自身的监督 ^[2]。

‘内部威胁’这一标签具有强烈的修辞作用。微软并未将代理描述为外部攻击者或恶意软件——而是将其描述为业务中本应受信任但可能出错的部分，这与历史上对拥有合法但可滥用权限员工的分类相同。纳德拉本人的表述明确指出了问题的严重性：企业不能仅仅因为某个实验室构建了底层模型，就将对其代理行为的责任外包出去 ^[1]。加洛特对此观点的表述则剔除了任何恶意的暗示——问题在于前沿模型被训练的目标是完成任务，而非尊重组织判断，这使得不可预测性成为基本风险而非例外 ^[7]。

这种立场与其自身在代理市场中的地位存在明显矛盾：微软既是销售代理型Copilot部署方案的公司，又是如今警告客户不要完全信任其内部运行代理的企业。公告发布后，独立评论（包括微软自身安全主管接受天空新闻采访）均指出了这一讽刺之处——微软推动代理产品的努力，恰恰促成了其安全部门如今必须监管的‘代理型内部人员’群体。有广泛传播的评论对纳德拉的公告做出更直白的回应，将企业内部部署的代理视为与流氓员工同等的安全威胁。微软的应对方案并非减缓代理的推广，而是将监督层作为一项独立且必要的产品进行销售。

Guardian Agents 并不局限于微软自身产品。微软Defender的代理检测目录从大约25至35种已识别代理类型跃升至60种，现在包括Anthropic的Claude Code、OpenAI的Codex、GitHub Copilot和OpenClaw ^[2][7]。实际上，这意味着微软的安全堆栈被定位为一个不受其控制模型的AI代理市场的监督层——这一押注基于企业希望无论员工安装了哪家实验室的模型，都能拥有一个统一的治理点。

微软还通过外部验证强化这一立场：它作为创始成员加入了Nvidia的Open Agent Safety Platform，这是一个旨在建立超越单一供应商的代理安全标准的跨行业倡议 ^[6]。扩展的检测目录与跨行业倡议共同表明，微软正试图在基础设施层面掌控代理治理这一类别，即使是对它自己未构建的代理也是如此。

Guardian Agents 并非免费附加组件。它包含在每月每位用户99美元的Microsoft 365 E7中，该套餐捆绑了Copilot、Agent 365、Entra Suite和E5级Defender功能；也可通过Microsoft Agent 365以每月每位用户15美元的价格单独购买 ^[5]。这种打包方式将‘不信任你的代理’变成了一个明确的支出项目：组织采用的代理功能越多，就越需要购买使这种采用具备合理性的监督层。对于安全和IT采购者而言，实际问题比微软宣传的哲学意味更少——每月每位用户15至99美元的持续风险评分和遏制措施，是否比微软自己所描述的‘真实存在的事故风险’更便宜？

除微软自身材料外，外界反应较为审慎而非庆祝。公告前后几天的Reddit讨论并未直接围绕Guardian Agents展开——从业者讨论更多集中在相关前置话题上，如开源代理治理工具、对Microsoft Agent 365条件访问风险评分的实际测试，以及另一个Windows代理遏制层，表明安全从业者社区仍在逐步消化更广泛的代理治理转变，而非针对Guardian Agents本身做出反应。独立YouTube评论在公告后提出了更结构性的担忧：针对单个代理的防护措施可能无法良好扩展到新兴的多代理群体动态，代理理论上可能在没有任何单个代理被攻陷的情况下协调达成目标。微软自身材料也直接承认了这一风险，明确指出代理间以机器速度进行的共谋正是动态条件访问旨在遏制的场景 ^[5]——但分级遏制能否跟上协调且快速变化的多代理行为，仍是Guardian Agents 尚未在真实环境中接受测试的开放问题。