Microsoft kündigte am 19. Oktober 2026 neue Sicherheitskontrollen für KI-Agenten in Project Perception und Microsoft 365 E7 an. Laut Microsofts Ankündigung sollen die Kontrollen fortlaufend auf veränderte Risiken reagieren: Signale fließen in die Risikobewertung ein, diese beeinflusst die Richtlinien und die Richtlinien bestimmen, welche Aktionen ein Agent ausführen darf.
Ein Regelkreis statt einer Abfolge
Microsoft beschreibt vier ineinandergreifende Aufgaben: Agenten erkennen, ihre Zugriffe begrenzen, Daten und Systeme schützen und die Schutzmaßnahmen an neue Risiken anpassen. Das sind keine aufeinanderfolgenden Phasen. Ändert sich das Verhalten oder der Kontext eines Agenten, kann sich dadurch die Risikobewertung ändern. Die Richtlinien sollen daraufhin dessen Handlungsspielraum anpassen.
Das ist der Kern des angekündigten Konzepts: Ein Agent soll nicht nur beim Start geprüft werden. Seine Berechtigungen sollen während der Aufgabe zu dem passen, was er gerade tut und auf welche Ressourcen er zugreifen kann.
Wie Microsoft Agenten erkennen und zuordnen will
Microsoft zufolge soll die Erkennung um 35 Typen lokaler Agenten wachsen und dann insgesamt 60 unterstützte lokale Agenten umfassen. Als Beispiele nennt das Unternehmen Claude Code, OpenAI Codex und GitHub Copilot.
Die Erkennung soll auch Agenten erfassen, die lokal oder ohne zentrale Bereitstellung eingeführt wurden. Microsoft Entra Agent ID soll solchen Agenten eine eigene Identität geben, damit sie einem Eigentümer zugeordnet und zum Ziel von Richtlinien werden können. Microsoft Agent 365 und Project Perception sollen Signale, Kontext und ein gemeinsames Agentenregister teilen.
Wie Berechtigungen und Risikoreaktionen zusammenwirken
Mit Dynamic Permissions sollen Agenten zunächst keine eigenen Berechtigungen haben. Sie sollen nur die Rechte erhalten, die sie für eine bestimmte Aufgabe benötigen, und zwar zeitlich begrenzt. Unternehmensrichtlinien setzen dabei den äußeren Rahmen: Ein Agent soll keine Befugnisse erhalten, die auch seinem Nutzer fehlen.
Dynamic Agent Risk soll fortlaufend Signale aus Identität, Daten, Endgeräten, Cloud, Netzwerk, Laufzeitumgebung und Agentenaktivität auswerten. Ändert sich das Risiko, kann Dynamic Conditional Access laut Microsoft abgestuft reagieren. Der Zugriff auf Daten kann etwa zum Lesen bestehen bleiben, während Schreibvorgänge gesperrt werden. Weitere mögliche Maßnahmen sind, erreichbare Ressourcen oder Netzwerkpfade einzugrenzen, eine bestätigte menschliche Freigabe zu verlangen, die Laufzeitumgebung abzuschotten oder die Ausführung zu stoppen.
Microsoft veranschaulicht das mit einem Agenten für die Spesenfreigabe: Er könnte Belege lesen, sie mit den Regeln abgleichen und routinemäßige Erstattungen freigeben. Taucht in einem externen Dokument eine Prompt-Injection auf und versucht der Agent daraufhin eine sachfremde Aktion, soll das neue Risikosignale auslösen. Die Richtlinien könnten dann zum Beispiel Schreibrechte entziehen oder für einen folgenreichen Schritt eine menschliche Freigabe verlangen.
Guardian Agents und Playbooks koordinieren Schutzmaßnahmen
Menschen sollen bei Guardian Agents und Playbooks die Sicherheitsziele, Freigabegrenzen und Delegationsregeln festlegen. Playbooks sollen die gewünschten Schutzmaßnahmen koordinieren. Guardian Agents sollen untersuchen, weshalb sich das Risiko verändert hat, Schutzmaßnahmen empfehlen oder anwenden und die Richtlinien an den Sicherheitskontext anpassen.
Microsoft nennt auch den Microsoft Execution Container (MXC) als Beispiel für eine abgeschottete Laufzeitumgebung. Sie soll einem Agenten richtliniengesteuerten Zugriff auf benötigte Ressourcen geben und Sicherheitskontrollen außerhalb seiner Reichweite halten. Signale aus dem Modell, darunter solche aus seiner Gedankenkette, können laut Microsoft ebenfalls in die Risikobewertung einfließen. Die Durchsetzung der Sicherheitsregeln soll jedoch unabhängig vom Modell bleiben.
