19 października 2026 roku Microsoft ogłosił nowe zabezpieczenia agentów AI w Project Perception i Microsoft 365 E7. Guardian Agents, Playbooks oraz Dynamic Permissions, Dynamic Agent Risk i Dynamic Conditional Access mają tworzyć ciągły system kontroli: sygnały wpływają na ocenę ryzyka, ryzyko na zasady, a zasady określają, co agent może zrobić. Microsoft opisał te funkcje jako współdziałające, a nie uruchamiane kolejno.
Project Perception Microsoft przedstawił w lipcu 2026 roku jako narzędzie pomagające bronić się przed atakami z użyciem AI spoza organizacji. Październikowe ogłoszenie rozszerzyło jego rolę na agentów działających wewnątrz firm. Microsoft opisał ten kierunek na swoim blogu.
Jak działa pętla kontroli agentów AI
Microsoft opisuje cztery powiązane zadania: rozpoznawanie agentów, ograniczanie tego, do czego mają dostęp, ochronę zasobów i dostosowywanie zabezpieczeń do zmian zachowania, kontekstu oraz ryzyka. Nie są to kolejne etapy. Sygnały aktualizują ocenę ryzyka, ta wpływa na zasady, a zasady zmieniają zakres działań dozwolonych agentowi.
Jak Microsoft chce wykrywać i identyfikować agentów
Agenci mogą powstawać na platformach Microsoftu i partnerów, być dodawani przez zestawy narzędzi programistycznych albo trafiać na urządzenia lokalnie, bez centralnego wdrożenia. Microsoft zapowiedział rozszerzenie wykrywania o 35 dodatkowych typów lokalnych agentów, do 60 obsługiwanych. Wśród wymienionych przykładów są Claude Code, OpenAI Codex i GitHub Copilot.
Wspólny rejestr ma ułatwić ustalenie, kto odpowiada za agenta, co robi i z jakim ryzykiem się wiąże. Microsoft zapowiedział też rozszerzenie Microsoft Entra Agent ID o kolejne rodzaje tożsamości, w tym agentów lokalnych i wcześniej nieznanych, wykrytych przez czujniki bezpieczeństwa. Taka tożsamość ma być odrębna od tożsamości osoby, która korzysta z agenta lub za niego odpowiada, dzięki czemu zasady bezpieczeństwa mogą dotyczyć samego agenta.
Jak uprawnienia i ryzyko mają zmieniać działania agenta
Microsoft zapowiedział Dynamic Permissions, czyli uprawnienia ograniczone do konkretnego zadania i czasu jego wykonywania. Agent ma zaczynać bez uprawnień, otrzymywać tylko dostęp potrzebny do zatwierdzonego zadania, a następnie tracić go, gdy zadanie się zmieni lub zakończy. Zasady organizacji wyznaczają granicę, a agent nie powinien uzyskać większych uprawnień niż użytkownik, któremu służy.
Dynamic Agent Risk ma na bieżąco łączyć sygnały dotyczące tożsamości, danych, urządzeń końcowych, chmury, sieci, środowiska uruchomieniowego i aktywności agenta. Microsoft uwzględnia w tym opisie również konfigurację agenta, dostępne mu zasoby, możliwe skutki błędu oraz odchylenia od celu zadania. Zmiana oceny ryzyka może więc zmienić zakres uprawnień, zamiast prowadzić od razu do prostego wyboru między pełnym dostępem a zatrzymaniem agenta.
Microsoft wyjaśnia ten mechanizm na przykładzie agenta zatwierdzającego wydatki. Jeśli agent napotka w zewnętrznym dokumencie prompt injection, czyli treść mającą wpłynąć na jego działanie, system może zareagować stopniowo: zachować możliwość odczytu, a zablokować zapis, zawęzić dostęp do zasobów lub ścieżek sieciowych, ograniczyć czas dostępu albo zażądać zweryfikowanej zgody człowieka. Przy wyższym ryzyku możliwe działania obejmują izolację środowiska uruchomieniowego lub zatrzymanie wykonania.
Microsoft podaje też, że sygnały z modelu, w tym sygnały dotyczące jego łańcucha rozumowania, mogą pomóc ocenić, czy agent odchodzi od celu lub ulega wpływowi niezaufanej treści. Egzekwowanie zasad ma jednak pozostać poza modelem, tak aby sam model nie decydował o granicach własnego dostępu.
Co mają robić Guardian Agents i Playbooks
Ludzie mają określać polityki, granice wymaganej zgody i zasady delegowania zadań. Playbooks mają wyznaczać oczekiwany rezultat działań ochronnych i koordynować ich wykonanie, a Guardian Agents mają badać przyczyny zmiany ryzyka oraz rekomendować lub stosować środki ograniczające. Microsoft opisuje je jako sposób na prowadzenie tych działań w sposób ciągły, w tempie pracy agentów.
Według Microsoftu ludzie zachowują kontrolę nad celami i decyzjami o istotnych konsekwencjach, a Guardian Agents mają przejąć bieżącą pracę, której nie da się skalować przez ręczne analizowanie każdego sygnału.
