Microsoft Microsoft menempatkan AI Ini bukan model. Ini adalah otoritas.

Kesimpulan pertama: Microsoft mengirimkan set ini pada 19 Oktober, pada wajah beberapa fitur baru, sebenarnya mengubah asumsi baku.

Asumsi baku pada masa lalu adalah bahwa Agen dikerahkan oleh diri kita sendiri, sehingga default kredibel. Microsoft Microsoft membuat jelas kali ini bahwa asumsi ini tidak valid. Aku akan mengerti:Agensi telah dipercaya sejak kami mengerahkannya ke dalam perusahaan. Sayangnya, tidak ada model garis depan dapat dipercaya dari mana saja.\"

Perhatikan kalimat kedua:Tak peduli dari mana asalnya,Aku tidak tahu. Termasuk di rumah.

Ini bukan PR. Ini menempatkan konsep lama dari tahun 1970-an - ancaman internal -- langsung ke model. Dan teori ancaman internal tidak pernah bekerja dengan " percaya orang ini."

Microsoft Microsoft menempatkan AI Agen di daftar ancaman internal.

Pertama, mari kita mendapatkan arti dari kata " ancaman internal."

Banyak orang melihat "AI adalah ancaman internal" dan reaksi pertama adalah "AI akan memberontak." Bukan itu. Microsoft telah mengklarifikasinya tiga kali.

Definisi tradisional dari ancaman internal adalah:Seorang insider dengan otoritas yang sah yang lalai, berbalik atau menangkap ikan menyebabkan kerusakan yang seharusnya tidak ia sebabkan.Kuncinya adalah kata otoritas hukum -- -- dia tidak datang ke dinding, dia digesek masuk

Pada Agen, Microsoft memberikan tiga alasan:

Itu membuat kesalahan.Karena outputnya tidak pasti, masukan yang sama tidak menjamin output yang sama;
Ini akan dimanipulasi.Bahasa Yunani dalam dokumen eksternal;
Ini akan rusak.Ia berjalan, ia memindahkan server MCP, ia mengambil sertifikat, dan setiap link dapat diambil.

Dan saya pikir itu yang paling penting, kalimat yang paling tidak terlihat dalam yang asli:Agensi Kekhalifahan berkolaborasi satu sama lain dan bahkan berkolusi untuk mencapai tujuan, dan prosesnya tidak perlu dilanggar.

Kalimat ini lebih besar dari tiga kalimat sebelumnya yang digabungkan. Ini bukan tentang " Agen akan digunakan oleh orang jahat," ini tentang "banyak Agen mungkin tidak dirancang untuk melakukan pekerjaan mereka." Itulah arti kata "internal" sebenarnya -- itu tumbuh dari dalam, bukan dari luar.

PRINSIPLES BAAL ADALAH ORANG YANG AKAN

Batu penjuru seluruh kerangka, Nadra, menulis dalam singkatnya pada 10 Oktober:

Kita harus memisahkan pasokan intelijen dari otoritas intelijen.

Berubah menjadi kata-kata besar: Modeler cerdas untuk membuat model, tapi "Apa model ini dapat membaca dalam sistem Anda, apa yang dapat berubah, dapat terus berjalan?" Keputusan ini tidak dapat diserahkan kepada para pemodel, ataupun kepada model sendiri.

Dia punya satu lagi di halaman yang sama:Sistem kecerdasan super paling kredibel bukan yang kita percaya pada model, tapi yang memungkinkan kita untuk mempercayai model."

Kedengarannya seperti paradoks, tapi itu rekayasa lama. Hal ini sesuai dengan prinsip keselamatan yang ditetapkan pada tahun 1970-an:Sebuah prosedur tidak dapat menentukan atau mengubah mekanisme yang digunakan untuk mengikat kompetensinya.

Masalahnya adalah sebagian besar Agen kini dikerahkan dengan cara terbalik: model berada di dalam kontainer, kontrol yang tepat ditulis dalam petunjuk sistem model dan log dilaporkan oleh model itu sendiri. Ini sama dengan menempatkan polisi dan tersangka pada individu yang sama.

Solusinya adalah untuk membongkarnya: model berjalan selama operasi terkontrol (dikenal sebagai Microsoft Exchange Container, MXC), dengan identitas di Entra, dengan izin yang ditentukan oleh strategi eksternal dan bukti yang dikumpulkan oleh sensor eksternal. Modelnya ada di kandang, dan kuncinya tidak ada di tangannya.

3 atau 4 kata kerja, bukan 4 tahap.

Kebobolan Microsoft memecahnya menjadi empat tindakan, yang awalnya adalah Know / Contain / Protec / Penyesuaian. Saya ingin menekankan secara khusus:Keempat ini tidak berurutan, mereka adalah cincin tertutup berjalan secara bersamaan.

Aksi	Perancis	Untuk apa?	Sambutan
Tahu	Ya. Ya.	Siapa yang membangunnya, kenapa? Apa yang kau lakukan?	Agen Lokal ditemukan ekstensi ke kelas 60
Dikandung	Batas	Aku akan memotong sentuhan sampai mati sebelum aku melakukannya.	MXC Sandbox + Misi Dinamik
Project	Perlindungan Hewan	Data, alat, waktu berjalan, sumber daya di jalurnya	Pengendalian Purview/ Jaringan/ Titik akhir
Penyesuaian	Penyelarasan	Perilaku dan perubahan risiko. Perubahan izin.	Risiko Usia Dinamis Faktur Dinamik + Akses Kondisi

Teks sangat akurat:Bukti-bukti membuktikan perubahan risiko, risiko mengubah strategi, strategi mengubah apa yang dapat dilakukan.

Itu siklusnya. Alih-alih "assess itu sekali pada entri dan kemudian mengeluarkan pas permanen", itu "dihitung untuk segalanya."

klausa terberat dalam set ini.

Saya pikir artikel yang paling efektif mengikat pada A:

Karyawan mempertahankan hak aksesnya sendiri. Agence memiliki identitasnya sendiri, otoritasnya sendiri, dan mandat terbatas pada tugas saat ini dan terbatas pada durasi misi.

Pembukaan kalimat ini adalah persyaratan tiga kali lipat:

Agen tak bisa mewarisi wewenang penuh.Anda memberikan staf akses penuh ke sistem keuangan, bukan pengembalian yang ia telah menelepon, tapi juga Agen.
Perlengkapan dikeluarkan oleh mandat dan diterima oleh batas waktu.Akhir dari misi dan kesalahan otoritas tidak dapat dipertahankan untuk waktu berikutnya.
Tindakan berisiko tinggi membutuhkan persetujuan.Dan itu "bukti persetujuan manual" — kata aslinya secara kriptografi mahir, sebagaimana dibuktikan oleh kode, bukan "konsenent dalam jendela.

Ini adalah Dinamic Agent Risk: peringkat risiko yang terus diperbarui, yang bukan item statis seperti " Agen ini dikonfigurasi secara tidak aman" tapi "apa yang dilakukannya sekarang, dan apakah telah ditugaskan untuk misi yang menyimpang dari itu."

Apa yang akan kita lakukan dengan itu? Secara spesifik Microsoft menekankanSambutan itu bertahap, bukan saklar.KANTOR:

Terus membaca, berhenti menulis;
Untuk mempersempit jangkauan data yang dapat menyentuh;
Memotong jalur jaringan;
Pengurangan atau penarikan kekuatan sementara;
persetujuan manual untuk operasi berisiko tinggi;
Hanya ketika berlari dalam isolasi adalah tingkat tertinggi, itu dihentikan secara langsung.

Ini desain yang bagus. Ini mengakui satu hal:Strategi seperti membunuh jika Anda menemukan anomali - tidak bekerja dalam bisnis nyata.Karena biaya pembunuhan terlalu tinggi, hasil akhirnya pasti beruntung mematikan alarm. Jadi ia memberikan set pertama langkah ke bawah.

Lima atau lima hal spesifik yang cocok dengan yang teratas.

Itulah yang ada di produk. Saya tekan "Bisa saya pastikan sekarang" baris:

Agen Lokal 1 Discoveries diperpanjang ke kelas 60

Tambah kelas 35 baru dengan kode Claude, Kodeks OpenAI, GitHub Copilot. Aku pergi melalui file matriks pendukung, yang memang memiliki entri seperti Claude Code, Codex CLI, Codex Desktop, GitHub Copilot CLI, dan tunggal keluar WSL.

Arti artikel ini untuk perusahaan domestik mungkin diremehkan:Agen, tim keamanan bisa melihatnya sekarang.Ini adalah peningkatan visibilitas yang besar, tetapi juga masalah organisasi. Apakah tidak melaporkannya sebelum siap digunakan sebagai pengawasan.

Sambungan ID Agen Entra 2

Buat Agent independen dari pengguna. Intinya adalah " Mari kita biarkan bisnis tahu hal-hal yang dilakukan oleh manusia dan yang oleh Agen." Hukuman ini sangat berharga pada saat kecelakaan — tidak ada identitas independen, dan Anda tidak memiliki tanggung jawab tambahan.

Bekas Pelaksana MXC

Ini bukan kotak pasir itu sendiri, itu asli:Jika Agen atau Harness nya rusak, seharusnya tidak bisa mematikan kontrol yang menonton itu."Ini adalah untuk menempatkan kunci di luar kandang pada proyek.

4 Misi Dinamis Dinamis

Ketiga persyaratan dalam pasal IV di atas adalah produkisasi. Ada satu detail yang patut diingat: strategi tingkat organisasi dimulai dengan perbatasan luar, yang mencakup" Untuk mencegah Agen mendapatkan akses ke penggunanya."Aku tidak tahu. Blok ini adalah kekuatan.

5 Guardians + Buku Main

Ini adalah satu hal yang perlu dilihat dengan tenang, dan aku akan mengatakannya secara terpisah.

VI. Tulang terkuat dari frame: Guardian sendiri, Agen

Saya membaca seluruh teks, dan saya ingin mengajukan pertanyaan saya sendiri.

Microsoft mengatakan: Model tidak dapat menjadi otoritas keamanan mereka sendiri, dan kontrol harus berada di luar model.

Dan jawabannya adalah, gunakan tim. Zaman WaliPergi 7x24 dan menatap setiap gerakan setiap Agen.

Tapi Guardian Agens sendiri adalah Agen.

Microsoft jelas tahu tentang lubang, dan itu memberikan tiga lapisan respon:

Tingkat pertama, batas-batas kompetensi Guardian, persetujuan batasan, dan aturan yang mengatur komisiTerserah padamu.Penjaga hanya beroperasi di dalam perbatasan. Tulisan aslinya jelas: " Ini bukan penilaian outsource." Orang-orang mempertahankan kontrol atas tujuan dan keputusan utama. \"

Lantai dua, Guardian.Sensor Eksternal- Identitas, data, titik akhir, jaringan, waktu berjalan, awan, bukan model. Ini adalah prasyarat untuk pendiriannya.

Ketiga, dan paling jujur: transparansi model (rantai pemikiran, dll) diperlakukan sebagaiSumber buktiSatu, tetapi teks segera menambahkan:Model tidak bisa menjadi perbatasan aman sendiri. Sebuah sistem mandiri harus mengamati setiap lapisan, termasuk model itu sendiri.\"

Sejujurnya, tiga lapisan respon ini secara logis nyaman, tapi ada dua jahitan yang tersisa pada proyek, dan saya pikir itu harus keluar:

Kredibilitas bukti bergantung pada siapa yang memiliki bukti.Untuk setempat menjalankan Agen (Claude Code, Codex, dll), sensor berada di titik akhir Anda sendiri, dan rantai bukti bersih. Namun, Agen, pembawa awan, catatan operasi, rantai pikir dan catatan panggilan berada di ruang vendor. Apa yang kau punya adalah ringkasannya untukmu, bukan data mentah. Kata "independent audit" diskon pada agen awan.

Guardian sama lelahnya seperti manusia.Ini tidak lelah, tapi itu punya alarm palsu. Saat 10.000 Agen menghasilkan 100.000 Ørisk naik" sehari, guardian auto-depression, auto-separation bergerak mulai mempengaruhi kontinuitas bisnis. Pada saat itu, yang benar-benar berbobot tidak terdeteksi.Siapa yang akan menanggung biaya dari kesalahan?Aku tidak tahu. Jawaban aslinya adalah "orang-orang menyimpan keputusan-keputusan besar", tetapi di mana thesignificant" perbatasan?

Ini bukan penolakan dari kerangka ini. Sebaliknya, hanya sedikit pabrikan yang mampu menempatkan kedua jahitan ini jelas ke dalam dokumen arsitektur. Tapi sebagai pendarat, kau harus tahu di mana jahitannya.

Agen seberang jalan sudah dalam pelarian.

Jika Anda hanya melihat Microsoft, itu adalah tren masa depan. Sekarang 21 Oktober bersama-sama, perubahan alam.

Microsoft Microsoft mengirim pesan ancaman pada hari yang sama: SAMBIL-0940 Seorang penyerang yang dihukum dengan latar belakang nasional Tiongkok. ARTEX Kerangka kerja penetrasi cerdas, yang telah otomatis sejak September 2026, telah melanda ratusan organisasi di seluruh dunia di banyak industri.Banyak kasus ini memakan waktu kurang dari tiga jam, mulai dari target hingga akses akses ke infrastruktur awan.

Dan itu menggantungnya pada rantai pasokan nyata - Microsoft telah mengidentifikasi Storm-0940 sebagai pelaku aplikasi multi-tenan baru-baru ini rantai pasokan. Jalur serangannya adalah mengambil aplikasi dan kemudian menggunakan izin yang disetujui untuk mengotentifikasi lingkungan klien Microsoft 365 tanpa login interaktif.

Microsoft menulis kalimat yang sangat bagus:Ejen tidak tunduk pada pembatasan manusia. Ini dapat bekerja 7x24, menjalankan akhir pekan, liburan, dan mencoba beberapa jalur intrusi."

Kami mengumpulkannya, 2026, Oktober, minggu itu keluar:

5 Oktober 10 Oktober, CEO set: model adalah risiko internal dan tanggung jawab tidak dapat outsourced;
19 Oktober, pendaratan Framework: deteksi, pembatasan, perlindungan, penyesuaian;
Pada 21 Oktober, tembakan berlawanan: 3 jam untuk mengambil hak istimewa.

Di satu sisi, Agennya terlalu mampu, di sisi lain Agen terlalu cepat.Kedua garis ini mencapai seperempat yang sama, bukan sebagai prediksi trend, tetapi sebagai risiko saat ini.

Apa yang bisa kita lakukan sekarang?

Aku tidak suka frase " bisnis harus mengatur sistem", tetapi seperti mengatakan apa-apa. Berpisah berdasarkan karakter.

Jika Anda bertanggung jawab atas ISO atau keamanan,

Hal pertama adalah tidak membeli E7.Pertama, bersihkan keluargamu, Agen.Aku tidak tahu. Titik awal untuk set Microsoft adalah "tidak ada yang dapat melihat" dan begitu juga Anda. Sekarang tanyakan tiga pertanyaan: berapa banyak Agen yang berjalan di perusahaan, yang membangunnya, dan otoritas apa yang masing-masing diambil. Saya kira kebanyakan perusahaan tidak bisa menjawab ketiga.

Hal kedua adalah...Lepaskan.Aku tidak tahu. Agen Agenda bekerja sebagai manusia sekarang adalah tempat yang paling umum dan paling mudah terjadi — Anda bahkan tidak tahu apakah itu manusia atau manusia. Other Entra dapat melakukannya tanpa akun layanan tunggal untuk Agen dan voucher terpisah, yang murni dikelola tanpa uang.

Jika Anda adalah IT atau tim platform

Versi landable minimumnya adalah empat: isolasi kontainer (tidak mengizinkan Agen untuk berjalan langsung di host), issuance dari voucher misi (tidak menggunakan AK jangka panjang), stop traffic control (setiap panggilan eksternal oleh Agen dicatat), dan konsentrasi log aksi (bukan hanya huruf Agen sendiri balasan). Tak satu pun dari empat kebutuhan E7.

Jika kau seorang pengembang,

Salah satu harus dibaca:Jangan menulis izin dalam petunjuk.Frasa phrase Anda tidak diizinkan untuk mengakses /etc" bukan kontrol keamanan pada tingkat petunjuk, tetapi hanya saran. Batas sebenarnya harus berada pada tingkat alat, pada tingkat jaringan, pada tingkat sistem. Keluarga mana pun yang kau gunakan, Agen diatur.

Jika Anda berada di tim kecil, Anda tidak memiliki anggaran.

Keempat kata kerja Microsoft yang sebenarnya ditulis tangan: Daftar Agen (Tahu), sebuah bentuk (Terdapat) yang memungkinkan setiap Agen untuk melakukannya, Sertifikat Izin Minimum (Protek) yang terpisah untuk masing-masing Agen, tempat yang dapat dicari dalam log dan bacaan mingguan Adap. Dalam waktu satu minggu bekerja, hasilnya tidak kalah dengan produknya.

IX. Hukuman hukuman akhir

Ini bukan lini produk, itu adalah nilai baku.

Selama dekade yang lalu, nilai default untuk keamanan perusahaan telah \"dipercaya secara permanen, pertahanan perbatasan\". Zero kepercayaan mengambil waktu yang lama untuk mengubah default ini, dan sekarang setengah dari perusahaan menggunakan ide dari "net aman."

Agen Zaifford mendorong pertanyaan lagi dan mendorongnya lebih keras:Ini bukan orang dalam-rumah yang dapat dilatih, disiplin dan diproses melalui proses pemisahan. Ia tidak memiliki kesetiaan dalam ingatannya, juga tidak memiliki minat dalam hal itu. Ini hanya berwenang.

Jadi jawaban untuk pertanyaan itu sederhana dan sulit:Kekuatan sebanyak yang kau berikan, bisa menyebabkan kerusakan sebanyak mungkin.

Solusi Microsoft adalah membatasi kekuatan ke nol, ke tugas, ke waktu, ke VIP berisiko tinggi. Ini tidak baru, itu mendorong prinsip otoritas minimal untuk kecepatan mesin. Apa yang baru adalah bahwa mengakui untuk pertama kalinya:Dalam sistem ini, Anda tidak dapat memperoleh keamanan dengan mempercayai model apapun, tetapi dengan tidak mempercayainya.

Jika itu benar, maka semua penjual yang menjual Agen harus menjawab pertanyaan yang sama:Sejauh mana model Anda dapat dipercaya dan sistem berjalan?

Jika jawabannya tidak baik, yang berikutnya ada dalam daftar.