Op 19 oktober 2026 kondigde Microsoft beveiligingsuitbreidingen aan voor Project Perception en Microsoft 365 E7. Het bedrijf beschrijft ze als een doorlopende controlelus: signalen veranderen de risico-inschatting, die het beleid bijstuurt en daarmee wat een AI-agent mag doen. Microsoft koppelt die aanpak aan Guardian Agents en dynamische toegangscontroles.
Microsoft beschrijft een doorlopende controlelus
Microsoft zegt Project Perception in juli 2026 te hebben geïntroduceerd om organisaties te helpen bij de verdediging tegen AI-gestuurde aanvallen van buitenaf. De uitbreiding richt zich op agenten die binnen organisaties werken. In een toelichting beschrijft Microsoft vier beveiligingstaken die tegelijk moeten werken: agenten herkennen, hun toegang begrenzen, systemen en gegevens beschermen en beveiliging aanpassen wanneer gedrag, context of risico verandert.
Dat zijn volgens Microsoft geen opeenvolgende fasen. Nieuwe signalen kunnen de risicobeoordeling veranderen; die kan leiden tot ander beleid, waardoor de toegestane acties van de agent veranderen. Zo schetst Microsoft beveiliging als een terugkoppellus, niet als een eenmalige controle bij het instellen van een agent.
Hoe Microsoft agenten wil herkennen
Microsoft zegt de detectie uit te breiden met 35 extra typen lokale agenten, voor een totaal van 60 ondersteunde lokale agenten. Claude Code, OpenAI Codex en GitHub Copilot behoren tot de genoemde voorbeelden. Microsoft wil gevonden agenten opnemen in een gezamenlijk register, zodat organisaties hun eigenaar, activiteit en risico kunnen overzien.
Detectie vertelt een organisatie dat een agent bestaat; een eigen identiteit maakt die agent volgens Microsoft ook bestuurbaar. Microsoft Entra Agent ID moet worden uitgebreid naar meer soorten agenten, waaronder lokale en eerder onbekende agenten die beveiligingssensoren vinden. Zo kunnen systemen de activiteiten van een agent onderscheiden van die van de persoon die hem gebruikt of inzet.
Hoe rechten en risicobeoordeling samenhangen
Met Dynamic Permissions wil Microsoft agenten zonder bevoegdheden laten beginnen. Daarna krijgen ze alleen rechten voor de goedgekeurde taak en zolang die taak duurt. Organisatiebeleid bepaalt de buitengrens; een agent kan volgens Microsoft niet meer bevoegdheden krijgen dan de gebruiker zelf heeft.
Dynamic Agent Risk moet het risico voortdurend opnieuw beoordelen aan de hand van signalen over identiteit, gegevens, apparaten, cloud, netwerk, runtime en de activiteit van de agent zelf. Ook de configuratie, bereikbare bronnen, mogelijke impact en afwijkingen van de bedoeling van de taak tellen mee.
Dat risico moet via Dynamic Conditional Access leiden tot passende beperkingen. Microsoft noemt bijvoorbeeld leesrechten behouden terwijl schrijfrechten worden geblokkeerd, toegang tot bronnen of netwerkpaden verkleinen, toegang inkorten of intrekken en menselijke goedkeuring vragen voor een belangrijke handeling. Bij een hoger risico kan de runtime, de omgeving waarin de agent draait, worden geïsoleerd of kan de uitvoering worden gestopt.
Microsoft gebruikt een declaratieagent als voorbeeld: die kan tijdens een taak een promptinjectie tegenkomen, een poging om het gedrag van de agent via tekst in een document te sturen. Als de agent daardoor buiten zijn opdracht dreigt te handelen, kan het beleid volgens Microsoft bijvoorbeeld schrijven blokkeren en lezen toestaan. De reactie kan dus aansluiten op de veranderde risico-inschatting.
Een Microsoft Execution Container (MXC) is een voorbeeld van een sandbox: een afgeschermde uitvoeromgeving waarin toegang tot bronnen volgens beleid kan worden geregeld. Microsoft beschrijft de beveiligingsgrenzen als onafhankelijk van de agent zelf, zodat die ze niet kan aanpassen.
Wat Guardian Agents en Playbooks moeten doen
Mensen bepalen volgens Microsoft het beleid, de grenzen voor goedkeuring en de ruimte die ze aan beveiligingsmaatregelen delegeren. Playbooks moeten de gewenste beveiligingsuitkomst vastleggen en beschermende acties coördineren. Guardian Agents moeten onderzoeken waarom het risico veranderde en vervolgens maatregelen aanbevelen of toepassen.
Microsoft zegt dat signalen op modelniveau, waaronder chain-of-thought-signalen, kunnen bijdragen aan de risico-inschatting. De handhaving blijft volgens het bedrijf buiten het model: het model kan informatie leveren, maar bepaalt niet zelf welke toegang en acties zijn toegestaan.
