Microsoft kündigte Guardian Agents am 19. Oktober 2026 als Aufsichtsfunktion innerhalb von Project Perception an. Die Agenten sollen andere Unternehmensagenten überwachen, Veränderungen ihres Risikos untersuchen und je nach festgelegten Regeln Schutzmaßnahmen empfehlen oder anwenden. Microsofts Konzept setzt dabei auf begrenzte Berechtigungen und Kontrollen außerhalb des überwachten Agenten.
Welche Rechte Guardian Agents begrenzen sollen
Microsoft sieht für jeden Agenten eine eigene Identität vor, getrennt von der Identität des Mitarbeiters, der ihn einsetzt. Ein Agent soll zunächst keine oder nur die unbedingt nötigen Berechtigungen erhalten. Diese Rechte sollen an eine konkrete Aufgabe und deren Dauer gebunden sein, statt automatisch den dauerhaften Zugriff seines Nutzers zu übernehmen.
Auch die Ausführung selbst soll abgesichert werden. Microsoft Execution Containers, kurz MXC, beschreibt Microsoft als Sandboxes: abgeschirmte Laufzeitumgebungen mit kontrolliertem Zugriff auf Ressourcen. Die Durchsetzung der Regeln soll außerhalb der Reichweite des Agenten liegen, damit dieser die Schutzvorkehrungen nicht umgehen oder verändern kann.
Wie aus Risikosignalen abgestufte Eingriffe werden
Dynamic Agent Risk soll fortlaufend Signale aus Identität, Daten, Endgeräten, Cloud, Netzwerk, Laufzeitumgebung und Agentenaktivität auswerten. Microsoft zählt auch Abweichungen von der vorgesehenen Aufgabe oder Absicht dazu. Die Bewertung soll sich also ändern können, wenn sich Zugriff, Verhalten oder Kontext eines Agenten ändern.
Dynamic Conditional Access bezeichnet Microsofts Ansatz, Berechtigungen und Schutzmaßnahmen an dieses wechselnde Risiko anzupassen. Die möglichen Eingriffe sind unterschiedlich stark und keine festgelegte Abfolge:
| Eingriff | Beschriebene Wirkung |
| Zugriff einschränken | Den Zugang zu Ressourcen oder Netzwerkpfaden begrenzen oder Berechtigungen verkürzen beziehungsweise entziehen. |
| Schreiben blockieren | Lesezugriff erhalten, während Schreibaktionen gesperrt werden. |
| Menschliche Freigabe verlangen | Eine verifizierte Person vor einer weiteren Aktion einbeziehen. |
| Laufzeitumgebung isolieren | Den Agenten in seiner Ausführungsumgebung abschirmen. |
| Ausführung stoppen | Den Agenten an weiteren Aktionen hindern. |
Bei einem Ausgabenagenten könnte die Abstufung beispielsweise bedeuten, zunächst sichere Lesezugriffe zu erlauben, aber Schreib- oder Genehmigungsaktionen zu blockieren. Steigt das Risiko weiter, können Zugriffe enger begrenzt, eine menschliche Freigabe verlangt oder die Laufzeitumgebung isoliert werden.
Menschen setzen die Grenzen
Microsoft beschreibt Guardian Agents als Helfer bei der laufenden Überwachung: Sie sollen untersuchen, warum sich das Risiko verändert hat, Maßnahmen empfehlen oder innerhalb der festgelegten Regeln anwenden und bei der Verbesserung von Richtlinien helfen. Menschen legen die Ziele und Freigabegrenzen fest und behalten die Kontrolle über folgenschwere Entscheidungen.
Satya Nadella hat ebenfalls dafür plädiert, dass eine befugte Person ein KI-Modell während einer Aufgabe pausieren oder abschalten kann. NeoTeo hat diesen Vorschlag in einem früheren Beitrag über Nadellas KI-Notbremse eingeordnet. Für die Bewertung von Agenten jenseits ihrer Endantwort bietet NeoTeo außerdem einen Überblick zu Aktionen und Werkzeugaufrufen von KI-Agenten.
Microsoft fasst die laufenden Sicherheitsaufgaben mit den Begriffen Know, Contain, Protect und Adapt zusammen: Risiken erkennen, eindämmen, schützen und Schutzmaßnahmen anpassen. Diese Aufgaben versteht das Unternehmen als fortlaufende Verantwortlichkeiten, nicht als vier Produkte oder aufeinanderfolgende Phasen.
Guardian Agents im größeren Project Perception
Project Perception ist das übergeordnete Sicherheitssystem. Microsofts Produktseite bezeichnet es als Preview und beschreibt drei Rollen: Red Agents sollen Angriffe simulieren, Blue Agents Sicherheitsvorfälle untersuchen und Green Agents Maßnahmen zur Behebung und Absicherung umsetzen. Microsoft kündigte Guardian Agents als Aufsichtsfunktion innerhalb dieses Systems an.
Microsoft beschreibt außerdem die koordinierte Abwehr über Microsoft Defender. Project Perception und Microsoft Agent 365 sollen Signale und Kontext sowie ein gemeinsames Register der Agenten nutzen.
