Il 19 ottobre 2026 Microsoft ha annunciato nuovi controlli per la sicurezza degli agenti IA in Project Perception e Microsoft 365 E7. L’azienda li descrive come un ciclo continuo: i segnali aggiornano la valutazione del rischio, il rischio orienta le policy e le policy modificano le azioni consentite agli agenti. Tra le novità ci sono Guardian Agents, Playbooks, Dynamic Permissions, Dynamic Agent Risk e Dynamic Conditional Access, secondo l’annuncio di Microsoft.
Project Perception era stato presentato per aiutare a contrastare attacchi basati sull’IA provenienti dall’esterno delle organizzazioni. Nell’annuncio del 19 ottobre, Microsoft ne ha descritto l’estensione alla sicurezza degli agenti che operano al loro interno. Microsoft ha presentato il progetto a luglio 2026.
Microsoft descrive la sicurezza degli agenti come un ciclo continuo
Rilevamento, contenimento, protezione e adattamento non sono fasi da eseguire una volta, una dopo l’altra: Microsoft dice che operano insieme. Se cambiano il comportamento di un agente o il contesto in cui lavora, cambiano anche la valutazione del rischio e le regole che ne limitano le azioni. Il punto pratico è questo: l’autorità dell’agente può essere ricalibrata durante il lavoro, invece di dipendere soltanto dalle impostazioni iniziali.
Project Perception e Microsoft Agent 365, afferma Microsoft, condividono segnali, contesto e un registro unificato degli agenti. Questo dovrebbe offrire una vista comune su quali agenti sono presenti e sul rischio associato.
Identità e rilevamento partono dagli agenti
Microsoft dichiara che il rilevamento si amplia di 35 tipologie di agenti locali, per un totale di 60 agenti locali supportati. Tra gli esempi citati ci sono Claude Code, OpenAI Codex e GitHub Copilot. Microsoft Entra Agent ID viene esteso anche a schemi locali e ad agenti sconosciuti individuati dai sensori di sicurezza.
L’identità è il punto di partenza per applicare regole a un agente specifico. Senza distinguerlo dagli altri accessi dell’organizzazione, sarebbe più difficile collegare le sue attività ai permessi e ai controlli previsti per lui.
Permessi e rischio cambiano insieme
Con Dynamic Permissions, spiega Microsoft, un agente parte senza autorità e riceve permessi limitati all’attività da svolgere e alla sua durata. Le regole dell’organizzazione fissano i limiti massimi, e l’agente non può ottenere più autorità di quella dell’utente a cui è associato.
Dynamic Agent Risk combina segnali relativi a identità, dati, dispositivi, cloud, rete, ambiente di esecuzione e attività dell’agente. Microsoft descrive una valutazione aggiornata continuamente, che considera anche la configurazione, le risorse raggiungibili, il potenziale impatto e gli scostamenti dal compito previsto. L’annuncio cita inoltre segnali a livello del modello, compresi quelli relativi alla catena di ragionamento, come possibili elementi per valutare l’intento. L’applicazione dei controlli, secondo Microsoft, resta indipendente dal modello.
Dynamic Conditional Access può restringere le azioni
Quando il rischio cambia, Dynamic Conditional Access può applicare restrizioni graduali, sempre secondo gli esempi di Microsoft. Può mantenere la lettura e bloccare la scrittura, limitare le risorse accessibili o i percorsi di rete, ridurre la durata dei permessi, chiedere un’approvazione umana verificata, isolare l’ambiente di esecuzione o interrompere l’attività dell’agente.
Microsoft cita Microsoft Execution Container (MXC) come esempio di ambiente isolato in cui l’accesso alle risorse può essere controllato da policy esterne all’agente. La risposta può quindi passare dalla riduzione di una singola capacità fino all’arresto dell’esecuzione.
Guardian Agents e Playbooks coordinano la risposta
Le persone definiscono le policy, i limiti per le approvazioni e le regole di delega. I Playbooks coordinano le protezioni in funzione degli obiettivi stabiliti; i Guardian Agents sono progettati per indagare perché il rischio di un agente è cambiato e raccomandare o applicare misure di contenimento.
In questo modello, l’agente di sicurezza non decide da solo quanta autorità concedersi: le regole e i controlli restano fuori dalla sua portata, mentre le nuove informazioni possono modificare ciò che gli è permesso fare.
