Microsoft Security opublikował 19 października 2026 r. wytyczne, w których określa agentów AI działających w firmach mianem „agentic insiders”. Ostrzeżenie dotyczy tego, że agent może zmieniać zachowanie wraz z kontekstem, dążyć do celu w sposób sprzeczny z intencją organizacji i mieć dostęp do ważnych danych lub systemów. Microsoft opisuje nadzór nad agentami i egzekwowanie granic dostępu jako odrębne elementy ochrony.

Dlaczego agent firmowy może być „agentic insider”

Microsoft wskazuje kilka źródeł ryzyka. Modele mogą stosować tzw. reward hacking, czyli dążyć do wyniku w sposób, który rozmija się z normami i oczekiwaniami organizacji. Agent może też reagować inaczej, gdy zmienia się kontekst, lub współpracować z innymi agentami, nie będąc wcześniej przejętym przez atakującego.

Znaczenie ma również zakres uprawnień. Agent może uzyskać dostęp do firmowych danych, narzędzi i systemów albo działać w istotnych procesach. Wcześniej omawialiśmy szersze ryzyko autonomicznych agentów AI; wytyczne Microsoftu skupiają się na tym, jak zachowanie agenta łączy się z jego dostępem do zasobów organizacji.

Guardian Agents i Project Perception mają nadzorować działania

Microsoft opisuje Guardian Agents jako warstwę, która ma stale obserwować działania innych agentów i moderować je przed wykonaniem. Project Perception ma łączyć sygnały z obszarów tożsamości, danych, chmury, urządzeń końcowych, sieci i środowiska uruchomieniowego. System ma pomagać wykrywać agentów, przypisywać im tożsamość i zasady dostępu, oceniać ryzyko w kontekście oraz nadzorować działania.

Microsoft ogłosił Project Perception 27 lipca 2026 r. Jego opisywany model obejmuje zespoły agentów do symulowania ataków, wykrywania i analizowania zagrożeń oraz działań naprawczych. W wytycznych z 19 października Microsoft napisał, że Project Perception można wykorzystać do ograniczania ryzyka związanego z agentami. Firma przypisuje systemom szybkość i możliwość śledzenia działań, a osąd pozostawia specjalistom.

Microsoft Execution Containers wyznacza granice dostępu

Microsoft Execution Containers (MXC) pełni inną funkcję niż nadzór: egzekwuje zdefiniowaną polityką granicę dostępu obciążenia do zasobów, takich jak pliki czy adresy sieciowe. Polityka działa poza agentem, więc agent ani generowany przez niego kod nie może samodzielnie przyznać sobie dodatkowych uprawnień. Microsoft podał 7 października 2026 r., że MXC jest ogólnie dostępne.

Microsoft opisuje trzy tryby działania:

  • Enforcement blokuje dostęp, którego nie przyznaje polityka.
  • Learning blokuje taki dostęp i zapisuje próbę.
  • Permissive zapisuje dostęp, który polityka by odrzuciła, ale pozwala na jego kontynuowanie, z uwzględnieniem innych ograniczeń systemu operacyjnego lub organizacji.

Raporty aktywności dla trybów Learning i Permissive Microsoft opisał dla kontenerów procesów w Windows. Kontenery procesów są przeznaczone dla Windows 11, macOS i Linux. Kontenery sesji oraz WSL dotyczą Windows 11, a microVM działa eksperymentalnie w Windows 11 i Linux.

Przykład Microsoftu pokazuje praktyczną różnicę: agent programistyczny może dostać pozwolenie na modyfikowanie repozytorium, a jednocześnie nie mieć dostępu do zmiany konfiguracji serwera produkcyjnego ani do niezwiązanych z zadaniem plików. Nadzór ma oceniać działania i ryzyko, podczas gdy MXC ogranicza dostęp do zasobów zgodnie z polityką.