微软将AI智能体纳入内部风险管理：权限不应继承员工

在2026年10月19日的微软官方说明中，安全业务执行副总裁Hayete Gallot把企业内部部署的AI智能体称为“agentic insiders”，并将Project Perception的防护范围扩展到它们；她写道：“Unfortunately, frontier models, regardless of their origin, cannot be trusted”。智能体已经能够接触企业数据、工具和关键流程，风险不必等到它遭入侵才出现：任务输入或执行方向发生变化，就可能让原本获准的访问产生新的后果。

同日的TechCrunch报道指出，新增的Guardian Agents用于监督企业智能体，相关控制还包括发现员工带入工作环境的智能体、按任务调整权限，以及在高风险操作前要求人工批准。对于已经部署智能体的企业，直接问题是员工账户能访问什么、智能体实际调用了什么，以及两者是否被误设为同一套权限。

内部风险发生在获准访问之后

企业智能体通常由模型、编排任务的软件、可调用的工具与资源，以及运行环境共同构成。它可能先读取外部内容，再调用内部应用完成工作；即使最初的授权符合任务要求，后续输入也可能改变它准备执行的动作。因此，只在任务开始时核验身份，无法说明每一次工具调用仍在原定范围内。

“内部人”在这里指访问位置和行动能力，而非员工身份。智能体能代表人进入业务流程，却不承担员工的判断与责任；要追溯一次操作，就需要区分谁部署了智能体、谁委托了任务、它调用了哪个工具，以及当时依据什么策略获得授权。这个区分也决定了权限设计的起点：员工保留自己的访问权，智能体获得单独的身份和与当前任务相称的权限。

独立身份让权限有了可控制的对象

Microsoft Entra Agent ID将智能体身份与员工身份分开，使任务权限有独立的控制对象

微软安全团队的技术说明写明，智能体发现能力新增覆盖35类本地智能体，使受支持的本地类型达到60类；Microsoft Entra Agent ID将扩展身份类型，以纳入通过安全传感器发现的智能体。Project Perception与Microsoft Agent 365共享信号、上下文和统一登记信息，供IT与安全团队识别智能体的所有者、活动和风险。发现能力扩大，意味着原先未经集中部署的本地智能体也有机会进入同一套管理视图；具体覆盖仍取决于企业实际使用的类型和环境。

身份登记之后，权限应从无权限或最小权限开始，随着获准任务按需授予，并在任务改变或结束时缩减、撤销。Dynamic Permissions用组织策略设定授权上限，再把具体访问限定到任务和期限；智能体不能取得委托人本来没有的权力，也不应直接复制委托人的长期访问范围。这是权限边界，不只是给现有员工账户另起一个名称。

边界还要延伸到工具调用。智能体即使拥有独立身份，如果仍能任意调用API、Model Context Protocol（MCP）服务器或其他智能体，访问范围仍可能沿工具链扩大。策略需要识别调用目标，也需要判断传入、传出的内容及其来源；当外部内容可能影响行动时，控制点应位于执行之前，不能只依靠事后日志还原过程。

风险变化后，读取与写入可以分开处理

Project Perception所述动态控制在风险变化后限制费用审批智能体的写入操作，并保留人工批准边界

Dynamic Agent Risk汇集身份、数据、终端、云、网络、运行时和智能体活动信号，持续判断现有授权是否仍适合当前任务。Dynamic Conditional Access则把风险变化转为执行中的访问控制：策略可以保留读取而阻止写入，缩小可访问的数据或网络路径，缩短授权期限，并在后果较大的动作前要求可验证的人工批准。风险继续升高时，控制还可延伸到隔离运行环境或停止执行。

费用审批智能体说明了这种区别：它起初可能获准查看申请并审批符合规则的费用，随后却从不可信的外部内容中接收到诱导，尝试执行无关操作。此时变化的是输入、行为和风险，未必是它的初始配置；合理的控制应针对当下的动作收紧写入或审批权，而不是沿用任务开始时的一次性许可。Guardian Agents和Playbooks承担持续调查、建议或执行约束措施的工作，策略目标、授权边界及重要决定仍由人设定。

已部署智能体应核对的五层控制

对已在运行的智能体，检查重点是一项任务从被发现到实际执行的路径。下面五层把新能力对应到企业已有的身份、工具和审批流程，也能暴露控制只存在于登记表、却没有覆盖实际调用的缺口：

发现：列出正式部署、经第三方平台接入及在本地运行的智能体，并核对所有者、用途、运行位置和近期活动。没有进入清单的实例，也难以进入后续身份与权限管理。
独立身份：确认智能体能否与委托它的员工分别识别，操作记录能否区分人的动作与代为执行的动作。如果内部应用只看见员工账户，调查时就无法清楚归属一次工具调用。
最小权限：分别核对数据读取、写入、API和MCP工具调用的授权范围与期限。一个任务获准读取资料，不等于它可以修改记录，也不等于下游工具可以忽略原有边界。
持续评估：检查任务偏移、不可信输入和异常调用是否会触发新的风险判断，以及策略能否及时缩小访问范围。只有告警、没有执行前的限制，仍可能让智能体完成偏离任务的动作。
人工批准：明确哪些后果较大的操作必须暂停并交由可核验身份的负责人批准。批准记录应对应具体智能体、任务和待执行动作，避免把一次笼统同意延续为长期授权。

上述能力描述的是公开的控制设计，跨平台发现覆盖、误报情况和动态收权效果仍需实际部署数据检验。对企业最直接的检验，是让一项真实任务在不借用员工全部权限的情况下完成，并确保任务偏离时有人能看清动作、收回授权并决定是否继续。