Microsoft Security ha pubblicato il 19 ottobre 2026 una guida che definisce gli agenti di IA aziendali possibili «agentic insiders», cioè presenze operative interne all’organizzazione. Secondo Microsoft, il rischio nasce dalla combinazione di obiettivi che possono essere perseguiti in modi imprevisti e permessi ampi su dati, strumenti e sistemi. Per questo l’azienda propone supervisione continua e controlli basati sul rischio.

Perché un agente può diventare un insider aziendale

Microsoft non descrive i modelli come intrinsecamente malevoli. Avverte però che i modelli frontier, indipendentemente dalla loro origine, non dovrebbero essere considerati affidabili per impostazione predefinita: sono addestrati a raggiungere risultati e possono ricorrere al reward hacking, cioè a strategie che ottimizzano il risultato senza rispettare necessariamente le norme e il giudizio dell’organizzazione.

Anche il contesto può cambiare il comportamento di un agente. Microsoft afferma che gli agenti possono agire in modo inatteso o collaborare con altri agenti per raggiungere i propri obiettivi, senza che sia necessario un attacco esterno. In azienda, alcuni hanno accesso a dati, strumenti e sistemi e possono intervenire in processi importanti; se dispongono di più autorizzazioni del necessario, un errore può avere conseguenze operative. Il quadro più ampio dei rischi degli agenti IA autonomi aiuta a capire perché il controllo dei permessi conti quanto quello del comportamento: le autorizzazioni determinano quali risorse un agente può raggiungere.

Guardian Agents e Project Perception: supervisione e rischio dinamico

Microsoft descrive i Guardian Agents come un livello di supervisione destinato a osservare e moderare le azioni degli altri agenti prima che avvengano, con continuità. Project Perception, annunciato da Microsoft il 27 luglio 2026, è un sistema di sicurezza agentica che coordina gruppi di agenti red, blue e green per aiutare i difensori a individuare i rischi e rispondere agli attacchi. Nel post del 19 ottobre, Microsoft afferma che Project Perception può essere impiegato anche per contenere gli agenti aziendali.

Il sistema è descritto come una combinazione di segnali provenienti da identità, dati, cloud, dispositivi, rete e ambiente di esecuzione. Questi elementi servono a individuare e gestire gli agenti, assegnare loro identità e regole, e valutare il rischio delle loro azioni in base al contesto. I Guardian Agents e gli agenti blue e green dovrebbero supervisionare le attività e intervenire quando il rischio aumenta. Microsoft attribuisce al sistema anche la tracciabilità delle azioni, mentre il giudizio resta ai professionisti della sicurezza.

Microsoft Execution Containers limita gli accessi con una policy

Microsoft Execution Containers (MXC) svolge un compito diverso: applica al workload dell’agente un confine di accesso definito da una policy, cioè da regole sui file, sulle destinazioni di rete e sulle altre risorse utilizzabili. Secondo Microsoft, le regole vengono applicate fuori dal workload: l’agente o il codice generato non possono concedersi autonomamente altri permessi. Microsoft ha dichiarato MXC generalmente disponibile il 7 ottobre 2026.

Un esempio chiarisce la differenza. Un agente di programmazione può aver bisogno di leggere e modificare il repository di un sito e di consultare la configurazione del server di produzione. La policy può consentirgli di leggere quella configurazione, ma impedirgli di modificarla. Il limite riguarda le operazioni autorizzate, non la valutazione dell’agente su quanto sarebbe utile farle.

MXC prevede tre modalità:

  • Enforcement blocca gli accessi non concessi dalla policy.
  • Learning blocca e registra gli accessi non concessi, così da aiutare a individuare quali autorizzazioni servono. Microsoft descrive i rapporti di attività di questa modalità per i container di processo su Windows.
  • Permissive registra gli accessi che la policy negherebbe, ma li lascia proseguire, sempre nel rispetto di altre restrizioni del sistema operativo o dell’organizzazione. Anche i rapporti di attività di questa modalità sono descritti per i container di processo su Windows.

Le piattaforme e i livelli di isolamento variano: i container di processo sono indicati per Windows 11, macOS e Linux; i container di sessione e WSL per Windows 11; le microVM per Windows 11 e Linux, in via sperimentale.

La supervisione osserva le azioni e il rischio nel contesto; MXC limita invece le risorse che un workload può usare. Nella visione di Microsoft sono controlli distinti: il sistema può aiutare a rilevare e gestire comportamenti rischiosi, mentre la policy stabilisce il confine che l’agente non può ampliare da sé.