Microsoft는 AI를 뒀습니다 내부 위협 목록의 에이전트 : 그것은 모델이 아닙니다. 그것은 권위입니다.

첫 번째 결론 : Microsoft는 몇 가지 새로운 기능의 얼굴에 10 월 19,에이 세트를 보냈습니다. 실제로 기본 가정을 변경했습니다.

과거의 기본 가정은 에이전트가 우리자신에 의해 배포되었으므로 기본값은 신뢰할 수 있었다. Microsoft는이 가정이 유효하지 않다는 것을 분명히했습니다. 나는 그것을 복사 할 것이다 :"Agent는 우리가 회사 내부에 그를 배치 한 이후로 신뢰되었습니다. 불행히도, 정면 선 모형은 어디에서든지에서 믿을 수 있습니다.”

두 번째 문장을 참고:어디에서 왔는지,나는 모른다. 집에 포함.

PR이 아닙니다. 그것은 1970 년대에서 오래된 개념을 뒀습니다 -- 내부 위협 -- 모형에 똑바른. 그리고 내부 위협 이론은 "이 사람을 신뢰."

첫째, "내부 위협"이라는 단어의 의미를 얻을 수 있습니다.

많은 사람들이 "AI는 내부 위협"을보고 첫 번째 반응은 "AI는 반란에 갈 것입니다." 그것은 아닙니다. Microsoft는 3 번 선언했습니다.

내부 위협의 전통적인 정의는:부정 행위가 된 합법적 인 권한이있는 내부자, 뒤를 돌거나 낚시가 발생하지 않도록 손상을 입었다.키는 "lawful Authority"라는 단어입니다 -- 그는 벽에 와서하지 않았다, 그는 안으로 훔쳤다.

에이전트에, Microsoft는 세 가지 이유를 준:

그것은 실수를한다.산출이 uncertain이기 때문에, 동일한 입력은 동일한 산출을 보장하지 않습니다;
조작됩니다.외부 문서;
그것은 부서질 것입니다.그것은 실행, 그것은 MCP 서버를 전송, 그것은 인증서를 가지고, 어떤 링크가 취할 수 있습니다.

그리고 나는 그것이 가장 중요한 것이라고 생각한다, 원래의 적어도 눈에 보이는 문장:에이전트는 서로 협력하고 심지어 콜드가 목표를 달성하고 프로세스가 깨지지 않습니다.

이 문장은 세 개가 결합 된 것보다 더 큽니다. 그것은 "신분은 나쁜 사람들에 의해 사용 될 것"에 대해 "많은 에이전트는 자신의 일을 할 수 있도록 설계되지 않을 수 있습니다." 즉 "내부"라는 단어는 실제로 의미 -- 그것은 내부에서 자랐다, 외부에서.

II. REAL PRINCIPLES는 1개의 THOUGHT입니다

전체 프레임 워크의 코너스톤, Nadra, 10 월 10 일에 그의 간단한에서 썼다 :

우리는 지능의 권위에서 지능의 공급을 분리해야합니다.

큰 단어로 전환 : Modeller는 모델을 만드는 스마트이지만 "이 모델이 시스템에 읽을 수있는 것은 어떻게 변경 될 수 있습니까?" 이 결정은 모델링자에게 남을 수 없으며, 스스로 모델을 만들 수 없습니다.

그는 같은 페이지에서 또 다른 것을 얻었다 :"가장 신뢰할 수있는 슈퍼 인트elligence 시스템은 우리가 모델에 신뢰하는 것은 아니지만, 우리가 모델을 신뢰 할 수있는 것."

그것은 paradox처럼 들지만 오래된 공학입니다. 1970 년대에 설립 된 안전 원칙에 대응합니다.절차는 할 수 없거나 그 역량을 결합하기 위해 사용되는 메커니즘을 변경할 수 없습니다.

문제는 대부분의 에이전트가 이제 역방향으로 배포됩니다 : 모델은 컨테이너에 있으며, 올바른 제어는 모델의 시스템 힌트에서 작성되며 로그는 모델 자체에 의해보고됩니다. 그것은 경찰을 배치하고 같은 개인에 대한 의심.

Microsoft의 솔루션은 untangle에 있습니다. 모델은 제어 된 작동 중에 실행됩니다 (Microsoft Exchange Container, MXC로 알려진), Entra의 정체성, 외부 전략에 의해 결정된 권한 및 외부 센서에 의해 수집 된 증거. 모형은 감금소에 있고, 자물쇠는 그것의 손에 없습니다.

3개 4개의 동사, 4개의 단계.

Microsoft는 원래 알려진 네 가지 행동으로 아래로 파고 / Contain / Protec / Adapt. 나는 특히 강조하고 싶습니다 :이 4는 순차적이지 않습니다, 그들은 동시에 실행되는 닫히는 반지입니다.

팟캐스트	한국어	무엇을?	관련 기사
이름 *	예.	누가, 누가 그것을 구축, 왜? 당신은 무엇을하고 있습니까?	Local Agent 의 확장을 찾았습니다 60
제품정보	지원하다	나는 그것을하기 전에 죽음에 터치를 잘라.	MXC Sandbox + 동적인 임무
회사연혁	제품 정보	데이터, 도구, 실행 시간, 그것의 경로에 자원	Purview/ 네트워크 엔드포인트 제어
사이트맵	조정	Behavior 및 위험 변화. 권한 변경.	동적인 나이 위험 + 조건 접근

텍스트는 매우 정확합니다 :증거는 위험, 위험 변화 전략, 전략 변경할 수 있습니다.

그것은 주기입니다. 대신 "입력에 한 번씩 유지하고 영구적 인 패스를 발행 한 다음 "모든 것을 위해 정정됩니다."

IV. "Zero Permission Start"는이 세트에서 가장 힘든 절입니다.

나는 기사가 A에 가장 효과적으로 바인딩 된 것 중 하나입니다 :

직원은 자신의 / 그녀의 자신의 액세스 권한을 유지. 에이전트는 자신의 정체성을 가지고, 자신의 권위, 그리고 현재의 작업에 제한된 위임하고 임무의 기간에 제한.

이 문장의 오프닝은 세 가지 요구 사항입니다.

에이전트는 전체 권한을 상속할 수 없습니다.금융 시스템에 대한 직원 전체 접근을 주었다, 그는 호출 한 재투자, 또한 에이전트.
Competences는 mandate에 의해 발행되고 시간 제한에 의해 받았습니다.임무의 끝과 권위의 lapse는 다음 시간 동안 유지되지 않습니다.
High-risk 동작은 승인이 필요합니다.그리고 그것은 "proveable 수동 승인"- 원래 단어는 암호화 숙련, 코드에 의해 증거로, 창에서 "소비자".

이것은 Dynamic Agent Risk입니다. 지속적으로 업데이트된 위험 등급은 "이 에이전트는 안전하지 않은"과 같은 정적 항목이 아니라 "지금 무엇을하고 있는지, 그것은 그것에서 탈선하는 임무에 할당되었는지 여부."

우리는 무엇을 할 것인가? Microsoft는 특히 강조합니다.응답은 gradual, 스위치가 아닙니다.::

읽고 계속, 쓰기 차단;
데이터의 범위를 좁히기 위해 그것은 접촉할 수 있습니다;
네트워크 경로 차단;
임시 힘의 감소 또는 인출;
high-risk 가동을 위한 강제적인 수동 승인;
고립에서 실행할 때만 최고 수준, 그것은 직접 멈춰집니다.

그것은 꽤 디자인입니다. 그것은 한 가지를 인정:"Kill if you find anomaly"와 같은 전략은 실제 사업에서 작동하지 않습니다.망이의 비용이 너무 높기 때문에, 최종 결과는 경보를 끄는 것을 운이 있어야합니다. 그래서 그것은 단계의 첫 번째 세트를 준.

상단과 일치하는 다섯 가지 특정 것들.

그것은 제품에 무슨입니다. 나는 "지금 확인 할 수 있습니다"라인을 누릅니다.

1 로컬 에이전트 Discoveries는 클래스 60에 확장

명확한 지적 Claude Code, OpenAI Codex, GitHub Copilot을 사용하여 새로운 35 클래스를 추가하십시오. Claude Code, Codex CLI, Codex Desktop, GitHub Copilot CLI와 같은 항목이 있는 지원 매트릭스 파일을 통해 갔다가 WSL을 단식했습니다.

국내 기업의 이 문서의 의미는 다음과 같다:에이전트, 보안 팀은 지금 볼 수 있습니다.그것은 가시성에 큰 증가이지만 조직 문제이기도합니다. 감시로 사용할 준비가되기 전에 보고하지 마십시오.

2 Entra Agent ID 확장

사용자의 에이전트를 독립적으로 만드십시오. 아래 라인은 "Let 's는 인간과 에이전트에 의해 수행되는 일을 알고 있습니다." 이 문장은 사고의 시간에 매우 귀중합니다. 독립적 인 정체성이 없으며 책임의 후속적 인 본질이 없습니다.

3 MXC 실행 컨테이너

그것은 sandbox 자체가 아닙니다, 그것은 원래입니다 :"제너 또는 그 하네스가 깨진 경우, 그것은 그것을보고있는 제어를 끄 수 없습니다."이것은 프로젝트에 감금소 밖에 자물쇠를 둬야 합니다.

4개의 동적인 임무

위에 단면도 IV에 있는 3개의 필요조건은 productization입니다. 기억의 한 세부 사항이 있습니다. 조직 수준 전략은 외부 경계로 시작합니다. 포함"사용자에 대한 액세스를 얻기에서 에이전트를 방지하기 위해."나는 모른다. 이 구획은 힘입니다.

5 가디언 + 플레이북

이것은 진정으로 볼 필요가있는 한 가지이며, 나는 별도로 말할 것입니다.

비. 프레임의 가장 강한 뼈 : Guardian 자신, 에이전트

나는 전체 텍스트를 읽고, 나는 내 자신의 질문을하고 싶습니다.

Microsoft는 말한다 : 모델은 자신의 보안 기관이 될 수 없으며 제어는 모델 밖에 있어야합니다.

그리고 그 대답은, 팀을 사용합니다. 가디언 나이(Guarder Agent) 7x24를 이동하고 모든 에이전트의 모든 움직임에 출연합니다.

그러나 Guardian Agens 자체는 대리인입니다.

마이크로소프트는 pit에 관하여 명백하게 알고 있고, 응답의 3개의 층을 주었다:

첫 번째 수준, 가디언 능력의 경계, 경계의 승인, 그리고 임무를 지배하는 규칙당신까지입니다.Guardian은 국경 내에서만 작동합니다. 원본 텍스트는 명확합니다 : "이것은 아웃소스 판단이 아닙니다." 사람들은 목표와 주요 결정에 대한 통제를 유지합니다. "

2 층, 가디언.외부 센서- 식별, 데이터, 엔드포인트, 네트워크, 실행 시간, 클라우드, 모델이 아닙니다. 이 시설에 대한 사전 문의입니다.

셋째, 그리고 가장 정직: 모델의 투명성 (더 생각의 사슬, 등) 처리됩니다증거의 근원한, 하지만 텍스트는 즉시 추가:"모델은 자신의 안전 경계가 될 수 없습니다. 독립적 인 시스템은 모델 자체를 포함한 각 층을 관찰해야합니다. "

솔직히, 응답의 이 3개의 층은 통용적으로 안락합니다, 그러나 프로젝트에 좌측 2개의 스티치가 있고, 나는 그것을 밖으로 가지고 있다고 생각합니다:

첫째: 증거의 신뢰성은 증거를 가지고 누가 달려있다.로컬 실행 에이전트 (Claude Code, Codex 등), 센서는 자신의 엔드포인트에 있으며 증거 체인은 깨끗합니다. 그러나, 에이전트, 클라우드 호스트, 운영 로그, 생각 체인 및 통화 기록은 공급 업체 방에 있습니다. 당신이 가지고있는 것은 요약의 당신, 아니 raw data. "내부 감사"라는 단어는 클라우드 에이전트에 할인됩니다.

두 번째 코스 : Guardian은 사람처럼 피곤합니다.그것은 피곤하지 않지만 거짓 경보가 있습니다. 10,000 에이전트가 100,000 "리스크가 상승"일 때, 가디언 자동 감압, 자동 분리는 비즈니스 연속성에 영향을 미치는 것을 시작합니다. 그 시점에서 실제 병목은 감지되지 않습니다.누가 잘못되었는지?나는 모른다. 원래 대답은 "사람은 주요 결정을 유지",하지만 어디 "신뢰" 국경?

이것은이 프레임 워크의 파괴가 아닙니다. 피임약에, 몇몇 제조자는 건축 문서로 이 2개의 스티치를 명확하게 둘 수 있었습니다. 그러나 착륙로, 당신은 스티치가 어디인지 알고있다.

일곱, 같은 주의 다른 절반: 거리의 에이전트는 이미 실행에.

Microsoft에서만 볼 경우 미래의 추세입니다. 함께 10 월 21 일, 자연 변화.

Microsoft는 같은 날 위협 메시지를 보냈습니다 : 폭풍-0940 중국 국가 배경의 공격자. 사이트맵 지능형 침투 프레임 워크, 9 월 2026 이후 자동화 된, 많은 산업 전반에 걸쳐 전 세계 수백 개의 조직을 히트.이러한 사례의 대부분은 클라우드 인프라에 특화된 접근을 목표로 삼시간이 적습니다.

그리고 그것은 진짜 공급 사슬에 그것을 걸린다 -- 마이크로소프트는 공급 사슬의 최근 다 강인한 신청의 perpetrator로 Storm-0940를 확인했습니다. 공격 경로는 응용 프로그램을 복용하고 대화 형 로그인없이 Microsoft 365 클라이언트 환경을 인증하는 승인 된 권한을 사용합니다.

Microsoft는 매우 잘 설립 된 문장을 썼습니다."Agent는 인간의 제한에 적용되지 않습니다. 그것은 7x24, 주말, 휴일을 실행하고, 여러 침입 경로를 시도 할 수 있습니다."

함께 넣어, 2026, 10 월, 주가왔다 :

10 10 월, CEO 세트 : 모델은 내부 위험과 책임이 부족할 수 없습니다.
19 10 월, 프레임 워크 착륙 : 감지, 제한, 보호, 조정;
10 월 21 일, 반대 화재 : 특전을 복용하는 3 시간.

한 손으로 에이전트도 할 수 있습니다. 다른 한편으로 에이전트도 빠릅니다.이 두 줄은 추세 예측과 같은 분기에 충돌하지만 현재 위험.

8, 다른 위치에 사람들, 우리는 무엇을 지금 할 수 있습니까?

나는 "사업은 시스템을 설정해야한다",하지만 아무것도 말하고 싶습니다. 문자로 분할.

ISO 또는 보안을 담당하는 경우

첫 번째 것은 E7을 구입하지 않습니다.첫째로, 당신의 가족, 대리인을 청소하십시오.나는 모른다. Microsoft의 설정의 시작점은 "하나는 볼 수 없습니다"이므로 할 수 있습니다. 이제 3 개의 질문을: 얼마나 많은 에이전트가 회사에서 실행되는지, 누가 그것을 구축, 그리고 각 권한을 가지고. 나는 대부분의 회사가 제 3에 대답 할 수 없다.

두 번째 것은 ......나는 모른다. 인간이 이제 가장 흔하고 가장 쉬운 장소로 에이전트의 일 - 당신은 인간이 또는 인간이 인 경우에 말할 수 없습니다. Entra는 에이전트 및 별도의 바우처에 대한 단일 서비스 계정없이 수행 할 수 있습니다.

IT 또는 플랫폼 팀이라면

최소한의 랜덤 버전은 4 : 컨테이너 고립 (호스트에서 직접 실행 할 수 없습니다), 임무 바우처의 발급 (긴 기간 AK를 사용하지 않음), 트래픽 제어를 중지 (원서가 기록 된 각 외부 통화), 행동 로그의 농도 (문자 에이전트의 자신의 대답은 아닙니다). 이 4개의 필요 E7의 아무도.

개발자가 있다면,

1은 지금 읽습니다:힌트에서 권한을 쓰지 마십시오.구문 "당신은 액세스 할 수 없습니다 /etc"는 힌트의 수준에 보안 제어가 아니라 조언. 실제 경계는 시스템 수준에서 네트워크 수준에서 도구 수준에 있어야합니다. 당신이 사용하는 어느 가족, 대리인은 설치됩니다.

작은 팀에 있다면 예산이 없습니다.

Microsoft의 4 동사는 실제로 필기입니다. 에이전트 목록 (Know), 각 에이전트가 할 수있는 양식 (Contain), 각 에이전트에 대한 별도의 최소 권한 인증서 (Protect), 로그의 단일 검색 장소 및 Adapt의 주간 독서. 일의 1 주 안에, 결과는 제품의 그것 보다는 더 적은입니다.

IX. 최종 문장 심사

그것은 제품 라인이 아닙니다, 그것은 기본 값입니다.

지난 수십 년 동안 기업 보안의 기본 값은 "내부적으로 신뢰할 수있는, 국경 방어". Zero 신뢰는이 기본을 변경하는 데 오랜 시간이 걸렸습니다. 이제 회사의 절반이 "net is safe"의 아이디어를 사용하고 있습니다.

에이전트는 다시 질문을 밀어 그리고 더 열심히 밀어:분리 공정을 통해 훈련, 훈련 및 가공 할 수있는 사내 사람이 아닙니다. 그것은 그것의 기억에 충성도가 없으며 그것에 어떤 관심을 가지고 있지 않습니다. 그것은 권한이 있습니다.

그 질문에 대한 답변은 간단하고 어렵습니다.당신이 그것을 주는 만큼 힘으로, 그것은 그것으로 다량 손상을 일으킬 수 있습니다.

Microsoft의 솔루션은 전력을 0, 작업, 시간에 제한하는 것입니다. 그것은 새로운, 기계의 속도에 최소 권위의 원리를 밀어. 새로운 것은 처음으로 인정하는 것입니다 :이 시스템에는 어떤 모델을 신뢰하여 보안을 얻을 수 없지만 신뢰하지 마십시오.

즉, 에이전트를 판매하는 모든 공급 업체는 동일한 질문에 대답해야합니다.모델은 신뢰할 수 있고 시스템이 실행 될 수 있습니까?

대답이 좋지 않은 경우, 다음 것은 목록에 있습니다.