Microsoft Security stufte Unternehmensagenten in einer am 19. Oktober 2026 veröffentlichten Anleitung als mögliche „agentic insiders“ ein. Gemeint sind KI-Agenten, die auf Unternehmensdaten, Werkzeuge oder Systeme zugreifen und in wichtigen Geschäftsprozessen handeln können. Microsofts Warnung richtet sich auf ihr Verhalten und ihre Berechtigungen, nicht auf die Behauptung, Modelle seien grundsätzlich böswillig.

Warum Microsoft Unternehmensagenten als mögliche Insider sieht

Microsoft nennt mehrere Risiken: Modelle könnten durch „Reward Hacking“ ein Ziel auf unerwünschte Weise verfolgen und seien nicht darauf optimiert, betriebliche Normen oder menschliches Urteilsvermögen zuverlässig abzubilden. Außerdem könnten Agenten ihr Verhalten an einen veränderten Kontext anpassen und mit anderen Agenten zusammenarbeiten, ohne zuvor kompromittiert worden zu sein.

Entscheidend sind auch die Rechte, die ein Agent erhält. Microsoft zufolge können Unternehmensagenten zu weitreichende Berechtigungen haben und dadurch auf Daten, Werkzeuge und Systeme zugreifen oder in wichtige Abläufe eingreifen. Die grundsätzlichen Risiken autonomer Agenten hat NeoTeo bereits im Beitrag über mögliche Gefahren selbstständig handelnder KI-Agenten eingeordnet. Microsofts Warnung konkretisiert, warum in Unternehmen sowohl das Verhalten als auch der gewährte Zugriff eine Rolle spielen.

Was Guardian Agents und Project Perception leisten sollen

Microsoft beschreibt Guardian Agents als eine geplante Überwachungsebene, die andere Agenten kontinuierlich beobachten und ihre Aktionen moderieren soll. Project Perception soll Signale aus Bereichen wie Identität, Daten, Cloud, Endgeräten, Netzwerken und Laufzeitumgebungen nutzen, um Agenten zu erkennen und zu verwalten, ihnen Identitäten und Richtlinien zuzuweisen sowie Risiken im jeweiligen Kontext einzuschätzen.

Microsoft stellte Project Perception am 27. Juli 2026 vor. Das Unternehmen beschreibt ein Zusammenspiel von Guardian Agents mit grünen und blauen Agenten für laufende Überwachung und Reaktion. Laut Microsoft kann Project Perception zur Eindämmung von Agenten eingesetzt werden. Menschliche Sicherheitsfachleute sollen dabei weiterhin das Urteilsvermögen einbringen; das System soll Geschwindigkeit und Nachvollziehbarkeit unterstützen.

Wie Microsoft Execution Containers Zugriffe begrenzen

Microsoft Execution Containers (MXC) übernehmen eine andere Aufgabe: Sie setzen eine Richtlinie für den Zugriff eines Workloads auf Ressourcen wie Dateien und Netzwerkziele durch. Microsoft erklärte MXC am 7. Oktober 2026 für allgemein verfügbar. Die Richtlinie wird außerhalb des Agenten-Workloads durchgesetzt, sodass der Agent oder von ihm erzeugter Code sich nicht selbst zusätzliche Zugriffsrechte geben kann.

MXC hat drei Betriebsmodi:

  • Enforcement blockiert Zugriffe, die nicht durch die Richtlinie erlaubt sind.
  • Learning blockiert und protokolliert solche Zugriffe.
  • Permissive protokolliert sie, lässt sie aber zu, sofern andere Betriebssystem- oder Organisationsregeln sie nicht verhindern.

Microsoft beschreibt Aktivitätsberichte für die Modi Learning und Permissive bei Windows-Prozesscontainern. Prozesscontainer sind für Windows 11, macOS und Linux aufgeführt. Sitzungscontainer und WSL-Container sind für Windows 11 vorgesehen. MicroVMs nennt Microsoft für Windows 11 und Linux als experimentell.

Überwachung und Zugriffsgrenzen lösen verschiedene Aufgaben

Guardian Agents und Project Perception stehen bei Microsoft für Beobachtung, kontextabhängige Risikobewertung und Reaktion. MXC begrenzt dagegen direkt, welche Ressourcen ein Workload erreichen darf. Microsoft nennt als Beispiel einen Programmieragenten, der ein Repository bearbeiten kann, aber weder die Konfiguration eines Produktionsservers ändern noch auf nicht zugehörige Dateien zugreifen darf. Die beiden Ansätze setzen somit an unterschiedlichen Stellen an: an der Bewertung von Aktionen und an der technisch durchgesetzten Zugriffsgrenze.