Microsoft поставя AI Агент във вътрешния списък на заплахите: Това е властта.

Първото заключение: Microsoft изпрати този набор на 19 октомври, на лицето на няколко нови функции, всъщност промени предположението по подразбиране.

Предположението по подразбиране в миналото е, че агент е бил разгърнат сами, така че неизпълнението е било надеждно. Microsoft даде ясно да се разбере, че това предположение не е валидно. Ще копирам това:"Агент му се вярва откакто го изпратихме в компанията. За съжаление, не модел на предната линия може да се вярва отвсякъде.

Обърнете внимание на второто изречение:Няма значение откъде идва.Не знам. Включително и вкъщи.

Не е PR. Това поставя една стара концепция от 70-те - вътрешна заплаха - директно към модела. И вътрешната теория на заплахата никога не работи като "доверява на този човек."

Първо, нека да получим значението на думата "вътрешна заплаха."

Много хора виждат "AI е вътрешна заплаха" и първата реакция е "AI ще се разбунтува." Не е това. Microsoft го изясни три пъти.

Традиционното определение за вътрешни заплахи е:Вътрешен човек със законна власт, който е бил небрежен, върнал се е или е заловен, е причинил щети, които не е трябвало да причинява.Ключът е думата "законна власт" -- той не е прескочил стената, а е бил отвлечен.

На агент, Microsoft даде три причини:

• Прави грешки., тъй като изходът е несигурен, същият вход не гарантира същия изход;
• Ще бъде манипулирано.във външен документ;
• Ще бъде счупен.Той работи, прехвърля MCP сървъра, взима сертификата и всяка връзка може да бъде взета.

И мисля, че е най-важното, най-малко видимото изречение в оригинала:Агент си сътрудничи един с друг и дори заговорничи, за да постигне целта, а процесът не трябва да се нарушава.

Това изречение е по-голямо от трите предходни комбинирани. Не става въпрос за "Агентът ще бъде използван от лошите хора," а за "много агенти може да не са създадени да си вършат работата." Това означава думата "вътрешен" всъщност -- тя е израснала отвътре, не отвън.

II. Истинските принципи са само една мисъл

Крайъгълният камък на цялата рамка, Надра, пише в своето кратко на 10 октомври:

Трябва да отделим информацията от авторитета на разузнаването.

Превърни го в големи думи: Моделерите са умни да правят модели, но "Какво може този модел да прочете в системата си, какво може да се промени, може ли да продължи да работи?" Това решение не може да бъде оставено на модели, нито на самите модели.

Има още един на същата страница:"Най-достоверната суперразузнавателна система не е тази, на която вярваме в модела, а тази, която ни позволява да вярваме на модела."

Звучи като парадокс, но е старо инженерство. Той отговаря на принципа за безопасност, установен през 70-те години на миналия век:Процедурата не може да заобиколи или измени механизма, използван за обвързване на неговата компетентност.

Проблемът е, че повечето агенти сега са разположени по обратния начин: моделът е в контейнера, десният контрол е записан в системния намек за модела и дневникът се отчита от самия модел. Това е равносилно на поставянето на полицията и заподозрените на един и същ човек.

Решението на Microsoft е да го разплетете: моделът работи по време на контролираната операция (известна като Microsoft Exchange Container, MXC), с идентичност в Entra, с разрешение, определено от външна стратегия и доказателства, събрани от външни сензори. Моделът е в клетката и ключалката не е в ръката й.

Три или четири глагола, не четири етапа.

Microsoft го разби на четири действия, които първоначално бяха известни / Contain / Protec / Adapt. Искам да подчертая по-специално:Тези четири не са последователни, те са затворени пръстени работещи едновременно.

Действия	Китайски	За какво?	Отговор
Знам.	Да.	Кой го е построил, защо? Какво правиш?	Локалният агент откри разширение на клас 60.
Съдържание	Граници	Ще отрежа докосването до смърт преди да го направя.	MXC Сандбокс + Динамични мисии
Проект	Защита	Данни, инструменти, работно време, ресурси по пътя си	Purview/ Network/ Endpoint Control
Адаптиран	Корекция	Поведение и риск. Разрешителните се променят.	Dynamic Age Risk + Условия за достъп

Текстът е много точен:Доказателствата променят рисковете, рисковете променят стратегиите, стратегиите променят това, което могат да направят.

Това е цикълът. Вместо "преценете го веднъж при влизане и след това издайте постоянен пропуск," той е "преизчислен за всичко."

IV. "Зеро разрешение старт" е най-трудната клауза в този комплект.

Мисля, че статията е тази, която е най-ефективно свързана с А:

Служителят запазва своите права за достъп. Агент има собствена самоличност, собствена власт и мандат, ограничен до текущите задачи и ограничен до продължителността на мисиите.

Откриването на това изречение е трикратно изискване:

• Агент не може да наследи пълна власт.Ти даде на персонала пълен достъп до финансовата система, не възстановяването, което той се обади, но също и на агента.
• Компетентността се издава с мандат и се получава до срока.Краят на мисията и изтичането на правомощията няма да бъдат запазени за следващия път.
• Високорисковите действия изискват одобрение.И това е "доказателствено ръчно одобрение" - оригиналната дума е криптографски изкусна, както се вижда от кода, а не "консултант" в прозорец.

Придружаващ това е Dynamic Agent Risk: непрекъснато актуализиран рейтинг на риска, който не е статичен елемент като "Този агент е небезопасно конфигуриран," но "какво прави сега и дали е бил назначен за мисия, която се отклонява от него."

Какво ще правим с това? Microsoft специално подчертаваОтговорът е постепенен, а не превключвател.:

• Продължавай да четеш, да прекъсваш писането.
• За да стесни обхвата на данните, които може да докосне;
• да прекъсне мрежовия път;
• намаляване или отнемане на временни правомощия;
• Принудително ръчно одобрение за високорискови операции;
• Само когато бягането в изолация е най-високото ниво, то се спира директно.

Страхотен дизайн. Признава едно нещо:Стратегия като "Убий ако откриеш аномалия" не работи в истинския бизнес.Защото цената на непредумишлено убийство е твърде висока, крайният резултат трябва да е късмет, за да се изключи алармата. Така че той даде първия набор от стъпки надолу.

Пет или пет специфични неща, които съвпадат с върха.

Това е на продукта. Натискам "Мога ли да го потвърдя сега:

1 Локални Агент Открийства разширени до клас 60

Добавяне на нов 35 клас с ясни наименования Клод Код, OpenAI Кодекс, GitHub Copilot. Прегледах файла с матрицата, който съдържаше записи като Claude Code, Codex CLI, Corder Desktop, GitHub Copilot CLI, и посочи WSL.

Значението на тази статия за местни предприятия може да бъде подценявано:Агент, охраната може да го види сега.Това е огромно увеличение на видимостта, но е и организационен проблем. Дали да го докладвам или не преди да е готово да бъде използвано като наблюдение.

2 Разширение на идентификатора на агента Entra

Направи агента независим от потребителя. В крайна сметка, "Да кажем на бизнеса кои неща се правят от хората и кои от агента." Това изречение е изключително ценно по време на инцидента го няма независима идентичност, и вие нямате последваща отговорност.

3 MXC Изпълнение на контейнера

Не е самият пясъчник, а оригиналът:"Ако агентът или харесът му са били счупени, той не би трябвало да може да изключи контролерите, които го наблюдават."Това е да сложиш ключалката извън клетката на проекта.

4 Динамични мисии

Трите изисквания в раздел IV по-горе са продуктизация. Има една подробност, която си струва да се запомни: стратегията на ниво организация започва с външна граница, която включва"за да попречи на агента да получи достъп до някой от потребителите си."Не знам. Този блок е сила.

5 Пазители + Playbooks

Това е единственото нещо, което трябва да се гледа спокойно и аз ще го кажа отделно.

VI. Най-силната кост на рамката:

Прочетох целия текст и искам да ви задам един въпрос.

Microsoft казва: Моделите не могат да бъдат собствен орган за сигурност, а контролът трябва да бъде извън модела.

И тогава отговорът е, използвайте екип. Векове на пазителиВърви 7x24 и зяпай всяко движение на всеки агент.

Но самите агенти са агенти.

Майкрософт очевидно е знаел за ямата и е дал три слоя отговор:

Първо ниво, границите на компетентността на Пазителя, одобрението на границите и правилата за възлаганеОт теб зависи.Пазителя работи само в рамките на границата. Оригиналният текст е ясен: "Това не е за да се прикрие преценката." Хората запазват контрол над целите и важните решения.

Втори етаж, Пазителю.Външни сензори- Идентичност, данни, крайни точки, мрежи, време на движение, облаци, не модели. Това е предпоставка за създаването му.

Трето, и най-честно: прозрачността на моделите (веригата на мисълта и т.н.) се разглежда катоИзточници на доказателстваЕдин, но текстът веднага добавя:"Моделът не може да бъде собствената му безопасна граница. Независимата система трябва да наблюдава всеки слой, включително самия модел.

За да бъда честен, тези три слоя отговор са логично удобни, но има два шева останали в проекта, и мисля, че трябва да излезе:

Първо: Доверието на доказателствата зависи от това кой има доказателствата.За агент на местно ниво (Claude Code, Кодекс и т.н.) сензорите са на вашата крайна точка и веригата от доказателства е чиста. Въпреки това, агент, клауд домакин, работи трупи, мисъл вериги и разговори записи са в стаята на продавача. Това, което имате е резюме за вас, не сурови данни. Думата "независим одит" се отхвърля от "облачен агент."

Второ: Пазителя е уморен като човека.Не е уморена, но има фалшива тревога. Когато 10 000 агенти произвеждат 100 000 "издигания на риска" на ден, Guardian авто-депресия, авто-разделяне ходове започват да влияят на непрекъснатостта на бизнеса. В този момент, истинската шило не се открива.Кой ще понесе цената на злодеянието?Не знам. Оригиналният отговор е "хората държат важни решения," но къде е "значителната" граница?

Това не е отричане на тази рамка. Напротив, малко производители са успели ясно да сложат тези два шева в архитектурния документ. Но като земевладелец трябва да знаеш къде е шевът.

Седем, другата половина на същата седмица: агентът отсреща вече бяга.

Ако погледнете само Microsoft, това е бъдеща тенденция. На 21 октомври природата се променя.

Microsoft изпрати съобщение за заплаха в същия ден: Буря-0940 Нападател осъден за китайски национален произход. ARTEX Интелигентната рамка за проникване, която е автоматизирана от септември 2026 г. насам, е засегнала стотици организации по целия свят в много индустрии.Много от тези случаи са отнели по-малко от три часа, от насочване към привилегирован достъп до облачна инфраструктура.

И го окачва на истинска верига за доставки... Microsoft идентифицира Storm-0940 като извършител на скорошното многократно приложение на веригата за доставки. Пътят на атаката е да вземете заявлението и след това да използвате одобреното разрешение за удостоверяване на среда на Microsoft 365 клиент без интерактивен вход.

Microsoft написа много добре установено изречение:"Агентът не е обект на човешки ограничения. Тя може да работи 7x24, тичане уикенди, празници, и опитайте множество пътеки за проникване."

Сглоби го, 2026, октомври, седмицата излезе:

• 10 октомври, CEO: моделът е вътрешен риск и отговорността не може да бъде възложена;
• 19 октомври, Рамково кацане: откриване, ограничаване, защита, регулиране;
• На 21 октомври срещуположният огън: 3 часа за получаване на привилегии.

От една страна, агентът му е прекалено способен, от друга страна е твърде бърз.Тези две линии удариха в същото тримесечие, не като прогнозите за тренда, а като текущи рискове.

Осем, хора на различни позиции, какво можем да направим сега?

Не ми харесва фразата "бизнесът трябва да създаде система," но е като да не казваш нищо. Разделено по характер.

Ако отговаряш за ISO или сигурността,

Първото нещо е да не купуваме Е7.Първо почисти семейството си, агент.Не знам. Началната точка за серията на Microsoft е "Никой не може да види" и вие също можете. Сега задайте три въпроса: колко агенти работят в компанията, кой я е построил и каква власт са взели всеки. Предполагам, че повечето компании не могат да отговорят на третия.

Второто нещо е...Свали го.Не знам. Работата на агента като човешко същество сега е най-често срещаното и най-лесното място, където може да се случи. Ентра може да го направи без сметка за обслужване на агент и отделен ваучер, който се управлява само без пари.

Ако сте ИТ или екип платформа

Минималната наземна версия е четири: изолация на контейнерите (да не се позволява на агента да работи директно на приемника), издаване на ваучер за мисията (да не се използва дългосрочен АК), спиране на контрола на движението (всеки външен сигнал от агента се записва) и концентрация на дневниците за действие (не само писма отговор на агента). Никой от тези четиримата не се нуждае от Е7.

Ако си разработчик,

Сега трябва да се чете:Не пишете разрешения в намеците.Фразата "не ви е позволено да получите достъп /etc" не е контрол на сигурността на нивото на намека, а само съвет. Реалната граница трябва да бъде на ниво инструмент, на нивото на мрежата, на системно ниво. Каквото и семейство да използваш, агентът е натопен.

Ако си в малък отбор, нямаш бюджет.

Четирите глагола на Microsoft са всъщност ръчно написани: списък с агенти (Знание), формуляр (Съдържание), който всеки агент позволява да се направи, отделен сертификат за минимално разрешение (Защита) за всеки агент, едно място за търсене в дневника и седмично четене на Адапт. В рамките на една седмица от работата, резултатът е не по-малко от този на продукта.

IX. Окончателна присъда

Не е продуктова линия, а стойност по подразбиране.

През последното десетилетие, стойността по подразбиране за корпоративната сигурност е била много надеждна. Нула доверие отне дълго време, за да се промени този фалит, и до сега половината от компаниите използват идеята за "нето е безопасно."

Агент натисна въпроса отново и го натисна по-силно:Той не е вътрешен човек, който може да бъде обучен, дисциплиниран и обработен чрез процеса на разделяне. Тя няма лоялност в паметта си, нито пък се интересува от нея. Само е разрешено.

Отговорът на този въпрос е прост и труден:Колкото и сила да му дадеш, може да причини колкото може повече щети.

Решението на Microsoft е да ограничи правомощията до нула, да зададе задачи, да време, до високо рискови VIPs. Не е ново, а избутване на принципа на минимална власт до скоростта на машината. Новото е, че признава за първи път:В тази система не можете да получите сигурност, като се доверявате на всеки модел, а като не му вярвате.

Ако това е вярно, тогава всички търговци, които продават агент ще трябва да отговорят на един и същ въпрос:До каква степен може да се вярва на вашия модел и системата работи?

Ако отговорът не е добър, следващият е в списъка.