微软让AI管AI：Project Perception新增Guardian Agents盯住企业Agent

这一回，连AI上班都得被人盯着了。

10月19日，微软宣布为安全系统Project Perception添置一批"监工"。这些监工的任务，是盯住企业里其他Agent的工作。一旦察觉异常，它们要查清原因、收回权限，情形严重时直接叫停。

那么监工由谁来当？微软的答案是：再安排一批AI。

企业放Agent出来干活，图的本是省心。可要让Agent替人办事，权限总得给一些。举例来说，让它帮忙审批报销，就得开放单据查看和报销系统操作。问题在于，一旦它理解错了任务，或者被文件里夹带的恶意指令带偏，就可能拿着公司给的权限闯出祸来。

所谓"有内鬼"，未必是Agent存心使坏。有时候它只是想把手头的事办好，结果帮了倒忙，反倒给公司惹出麻烦。

怎么还得防着自己人

微软自家的办公AI助手Microsoft 365 Copilot，就曾在研究人员的测试中泄露敏感资料。

2025年，以色列安全公司Aim Security旗下的研究团队Aim Labs发现，恶意指令可以藏进邮件，用来诱导Copilot泄露信息。他们编写了这样一封邮件，等Copilot在回答用户问题、查找相关资料时读到它。

整个过程中，用户既不用亲自打开邮件，也不用点击链接。测试中，Copilot检索到这封邮件后便被里面的指令带偏，把正在处理的敏感信息传到了外部。

研究人员将这套攻击方法命名为EchoLeak，并向微软报告。泄露发生在研究人员的测试中，当时没有已知客户因这一漏洞遭遇泄密。

这件事的麻烦之处在于，公司允许Copilot读取邮件，本意是让它查资料。可邮件里既可能有工作内容，也可能有别人塞进来的指令。AI并不总能分清哪些是资料、哪些是在骗它做事。

能读写文件、调用工具的Agent，同样会碰上这个问题。它手里的权限越多，被骗之后能制造的麻烦就越大。

还有一点：Agent 启动时一切正常，不代表它能把整项任务干完都不出岔子。头几份文件看着没问题，下一份里就可能埋着恶意指令。只在启用那一刻查一遍，后面它碰到的新情况、新判断，就都管不着了。

最关键的一点是，人类在这方面确实有点心有余而力不足了。

靠安全人员逐条盯着，也很难跟得上。人还在查上一条警报，Agent可能已经接连执行了好几个操作。

于是微软打算让另一批Agent接手检查——Agent管Agent，总行了吧。

Agent也有顶头上司咯

微软给这批"监工"起名叫Guardian Agents，放在安全系统Project Perception里。它们负责检查其他Agent的行为，发现异常后调查原因，再按企业事先定好的规则采取措施。

可要真把Agent管住，不能等出了事才补救。微软给出的方案是，企业得先让干活的Agent有独立身份，把它归谁管、能碰哪些资料、能做哪些操作都定清楚。权限按当前任务的实际需要给，任务一完就收回去。

这样既能限制它接触的范围，出了问题也方便查清是谁做的。

Agent 上手之后，系统还得盯着它的动作。看出不对劲，可以先缩权限，比如把改文件的权限停掉，读取权限留着，让它接着做风险小的部分。有些操作则设成要人工点头才能过。真到了必要的时候，再把它隔离或者停掉。

可负责监督的也是Agent，判断错了怎么办？

纳德拉在10月10日的文章中提出，企业需要在AI之外，设置一套AI无法绕过或修改的权限规则。

照这个思路，企业若定了某类资料不许外发，那就算干活的Agent和盯着它的AI都点了头，系统也得拦下来。这种决定，不能光让AI自己拍板。

微软这次更新，把企业电脑安全软件Defender for Endpoint的识别范围扩大了：本地跑的AI Agent，现在能认出60种。

查出员工用了哪些Agent，只是头一步。真碰上危险操作能不能拦，还得看具体那个Agent、那套电脑系统在不在防护支持的范围里。

就算在支持范围内，企业也得自己动手开启拦截。Defender的Agent运行时防护打开后，有“审计”和“阻止”两种模式可选。审计模式下，发现恶意指令只记录、发警报，操作照旧放行。切到阻止模式，才会真正拦下来。

微软的建议是，先用审计模式看看警报准不准，把误报排查掉，再一步步把阻止模式开起来。

Project Perception眼下还在小范围受邀客户的预览阶段。

Agent监工这钱也让微软挣上了

这几个月，AI越权干活的事一件接一件被公开。这些家伙越来越能干，怎么管住它们，厂商们躲不开。

OpenAI在8月公开的一项调查里提到，7月有模型在放宽安全限制的情况下参加内部网络安全测试，结果冲破了网络隔离，闯进公司部分研究设施以及AI平台Hugging Face的系统。这些动作已经超出测试任务被允许的范围。

10月9日，Anthropic披露了另一件事：Claude在做网页操作测试时，向费城警方递交了一条自己编出来的凶杀案线索。它原本只是执行网页交互任务，却把示例内容当成真的发了出去。这条信息后来被判定为垃圾信息，因此没有进入调查程序。

测试环境里发生的事，接触到的却是真实网站和真实系统。Anthropic随即表示，在确认安全措施足够可靠之前，所有内部评测的实时联网都会暂停。同时，内部Agent被迁入集中管理、限制更严的环境，自动检测和拦截工具也已增加。

安全厂商也开始往Agent身边加人手、加关卡。

9月1日，CrowdStrike发布了Falcon Guardian，名字里就带着“守护者”。按该公司的介绍，这套产品能发现企业Windows和Mac电脑上的Agent，追踪它们调用了什么工具、执行了什么操作，还能阻止未经批准的Agent运行。它强调的是直接在Agent干活的电脑上执行限制，让企业定下的规矩真正生效。

Palo Alto Networks则在10月15日介绍了Prisma AIRS的新功能：在Agent调用企业工具时，检查来回传递的内容，拦截夹带的恶意指令，遮蔽返回结果中的敏感数据，再按企业设定的权限决定能否继续操作。Agent想调用工具，得先过安全检查这一关。

这是个趋势，也是门生意，如今微软也想做。Perception按实际使用量收费，用“安全计算单位”（SCU）衡量消耗，安全Agent执行的任务越繁重，消耗通常越多。不过，官网公布的是整套系统的计费方式，没有单列新增这批“监工”的价格。

微软另一款管理Agent的产品Agent 365，独立订阅标价每用户每月15美元。它和Perception是不同产品，但两者会共享Agent名录和安全信息，配合企业管理和保护Agent。

让AI干活要花钱，把AI管住也要花钱，效果如何，只能等着看。