Microsoft zet AI Het is niet het model. Het is de autoriteit.

De eerste conclusie: Microsoft stuurde deze set uit op 19 oktober, op het gezicht van verschillende nieuwe functies, eigenlijk veranderde een standaard veronderstelling.

De standaard veronderstelling in het verleden was dat Agent werd ingezet door onszelf, dus de default was geloofwaardig. Microsoft maakte dit keer duidelijk dat deze aanname niet geldig is. Begrepen."Agent is vertrouwd sinds we hem in het bedrijf hebben ingezet. Helaas, geen front-line model kan worden vertrouwd van overal.

Let op de tweede zin:Waar het ook vandaan komt,Ik weet het niet. Inclusief thuis.

Het is geen PR. Het zet een oud concept uit de jaren zeventig -- interne dreiging -- recht naar het model. En de interne dreigingstheorie werkt nooit door deze man te vertrouwen.

Laten we eerst de betekenis van het woord "interne bedreiging" begrijpen.

Veel mensen zien "AI is een interne bedreiging" en de eerste reactie is "AI gaat rebelleren." Dat is het niet. Microsoft heeft het drie keer verduidelijkt.

De traditionele definitie van interne bedreigingen is:Een insider met een legitieme autoriteit die nalatig was, zich omdraaide of gevangen visserij veroorzaakte schade die hij niet had moeten veroorzaken.De sleutel is het woord "wettig gezag" -- hij kwam niet over de muur, hij werd erin gepikt.

Op Agent gaf Microsoft drie redenen:

• Het maakt fouten., omdat de output onzeker is, garandeert dezelfde input niet dezelfde output;
• Het zal gemanipuleerd worden.in een extern document;
• Het zal kapot zijn.Het draait, het transfereert de MCP server, het neemt het certificaat, en elke link kan worden genomen.

En ik denk dat het de belangrijkste, de minst zichtbare zin in het origineel is:Agent werkt met elkaar samen en spant zelfs samen om het doel te bereiken, en het proces hoeft niet gebroken te worden.

Deze zin is groter dan de drie voorgaande samen. Het gaat niet over "Agent zal worden gebruikt door de slechte mensen," het gaat over "veel agenten zijn misschien niet ontworpen om hun werk te doen." Dat is wat het woord "intern" echt betekent -- het groeide van binnenuit, niet van buiten.

II. REËLE BEGINSELEN ZIJN ÉÉN OORDEEL

De hoeksteen van het hele kader, Nadra, schreef in zijn brief op 10 oktober:

We moeten de informatievoorziening scheiden van de autoriteit van de inlichtingen.

Zet het in grote woorden: Modellers zijn slim om modellen te maken, maar "Wat kan dit model lezen in uw systeem, wat kan het veranderen, kan het blijven draaien?" Deze beslissing kan niet aan modelbouwers worden overgelaten, noch aan modellen zelf.

Hij heeft er nog één op dezelfde pagina:"Het meest geloofwaardige super-intelligentie systeem is niet degene die we vertrouwen in het model, maar degene die ons in staat stelt om het model te vertrouwen."

Het klinkt als een paradox, maar het is oude techniek. Het komt overeen met een veiligheidsbeginsel dat in de jaren zeventig werd vastgesteld:Een procedure kan het mechanisme dat wordt gebruikt om haar bevoegdheid te binden, niet omzeilen of wijzigen.

Het probleem is dat de meeste Agent nu op de omgekeerde manier wordt ingezet: het model zit in de container, de juiste controle is geschreven in de systeem hint van het model en het logboek wordt gerapporteerd door het model zelf. Het komt neer op het plaatsen van de politie en verdachten op hetzelfde individu.

Microsoft's oplossing is om te ontwarren: het model draait tijdens de gecontroleerde operatie (bekend als Microsoft Exchange Container, MXC), met identiteit in Entra, met toestemming bepaald door externe strategie en bewijs verzameld door externe sensoren. Het model zit in de kooi en het slot zit niet in zijn hand.

Drie of vier werkwoorden, niet vier fasen.

Microsoft brak het in vier acties, die oorspronkelijk Know / Contain / Protec / Adapt waren. Ik wil met name het volgende benadrukken:Deze vier zijn niet opeenvolgend, ze zijn gesloten ringen die gelijktijdig lopen.

Acties	Chinees	Waarvoor?	Respons
Weten	Ja.	Wie heeft het gebouwd, waarom? Wat doe je?	Lokale agent vond uitbreiding tot klasse 60
Bevat	Grenswaarden	Ik snij de aanraking dood voordat ik het doe.	MXC Sandbox + Dynamische missies
Project	Bescherming	Gegevens, hulpmiddelen, looptijd, middelen op zijn pad	Toepassing/netwerk/eindpuntcontrole
Aanpassen	Aanpassing	Gedrag en risicoverandering. Toestemming verandert.	Dynamisch Leeftijdsrisico + Voorwaarden Toegang

De tekst is zeer nauwkeurig:Bewijs verandert risico's, risico's veranderen strategieën, strategieën veranderen wat het kan doen.

Dat is de cyclus. In plaats van "beoordeel het eenmaal bij binnenkomst en geef dan een permanente pas" wordt het "herberekend voor alles."

IV. "Zero Permission Start" is de zwaarste clausule in deze set.

Ik denk dat het artikel het meest effectief bindend is voor A:

De werknemer behoudt zijn eigen toegangsrechten. Agent heeft zijn eigen identiteit, zijn eigen autoriteit, en een mandaat beperkt tot de huidige taken en beperkt tot de duur van missies.

De opening van deze zin is een drievoudige eis:

• Agent kan geen volledige autoriteit erven.U gaf het personeel volledige toegang tot het financiële systeem, niet de terugbetaling die hij had gevraagd, maar ook de agent.
• De bevoegdheden worden per mandaat verleend en binnen de gestelde termijn ontvangen.Het einde van de missie en het verstrijken van het gezag mogen niet worden gehandhaafd voor de volgende keer.
• Maatregelen met een hoog risico vereisen goedkeuring.En het is "bewezen handmatige goedkeuring" het oorspronkelijke woord is cryptografisch bekwaam, zoals blijkt uit de code, niet een "toestemming" in een venster.

Daarbij komt Dynamic Agent Risk: een voortdurend bijgewerkte risicobeoordeling, die geen statisch item is zoals "This Agent is onveilig geconfigureerd" maar "wat doet het nu, en of het is toegewezen aan een missie die ervan afwijkt."

Wat gaan we daarmee doen? Microsoft benadrukt specifiekDe respons is geleidelijk, geen schakelaar.:

• Blijf lezen, afgesneden schrijven;
• Om het bereik van gegevens die het kan raken te verkleinen;
• het netwerkpad afsluiten;
• vermindering of intrekking van tijdelijke bevoegdheden;
• Gedwongen handmatige goedkeuring voor activiteiten met een hoog risico;
• Alleen als je in isolatie rent is het hoogste niveau, wordt het direct gestopt.

Het is nogal een ontwerp. Het geeft één ding toe:Een strategie als "Dood als je een anomalie vindt" werkt niet in echte zaken.Omdat de kosten van doodslag te hoog zijn, moet het eindresultaat geluk zijn om het alarm uit te schakelen. Dus het gaf de eerste set van stappen naar beneden.

Vijf of vijf specifieke dingen die overeenkomen met de top.

Dat staat op het product. Ik druk op de "Kan ik het nu verifiëren" regel:

1 Lokale Agent Ontdekkingen uitgebreid tot klasse 60

Voeg een nieuwe 35 klasse toe met duidelijke benamingen Claude Code, OpenAI Codex, GitHub Copilot. Ik ging door de ondersteuning matrix bestand, die heeft items als Claude Code, Codex CLI, Codex Desktop, GitHub Copilot CLI, en uitgeklapt WSL.

De betekenis van dit artikel voor binnenlandse ondernemingen kan worden onderschat:Agent, het beveiligingsteam kan het nu zien.Het is een enorme toename van zichtbaarheid, maar het is ook een organisatorisch probleem. Of je het wel of niet moet melden voordat het klaar is om gebruikt te worden als surveillance.

2 Entra Agent ID-extensie

Maak agent onafhankelijk van de gebruiker. De bottom line is "Laten we het bedrijf laten weten welke dingen door mensen worden gedaan en welke door Agent." Deze zin is uiterst waardevol op het moment van het ongeval . Er is geen onafhankelijke identiteit, en je hebt geen latere toekenning van verantwoordelijkheid.

3 MXC Uitvoeren Container

Het is niet de zandbak zelf, het is het origineel:"Als agent of zijn harnas gebroken was, zou het niet in staat moeten zijn om de bedieningen die het bekijken uit te schakelen."Dit is om het slot buiten de kooi op het project te zetten.

4 Dynamische missies

De drie eisen in sectie IV hierboven zijn de produktie. Er is één detail dat we moeten onthouden: de strategie op organisatorisch niveau begint met een buitengrens, die"om te voorkomen dat agent toegang krijgt tot een van zijn gebruikers."Ik weet het niet. Dit blok is macht.

5 Bewakers + speelboeken

Dit is het enige dat we rustig moeten bekijken, en ik zal het apart zeggen.

VI. Het sterkste bot van de lijst: Wachter zelf, Agent

Ik heb de hele tekst gelezen en ik wil je een vraag stellen.

Microsoft zegt: Modellen kunnen niet hun eigen veiligheid autoriteit, en controle moet buiten het model.

En dan is het antwoord: gebruik een team. BewakerstijdperkenGa 7x24 en staar naar elke beweging van elke agent.

Maar de Guardian Agenten zelf zijn Agent.

Microsoft wist duidelijk van de put, en het gaf drie lagen van reactie:

Eerste niveau, de grenzen van de Guardian competentie, de goedkeuring van de grenzen, en de regels voor de inbedrijfstellingHet is aan jou.Bewaker werkt alleen binnen de grens. De oorspronkelijke tekst is duidelijk: "Dit is niet om oordeel uit te besteden." Mensen behouden controle over doelstellingen en belangrijke beslissingen.

Tweede verdieping, Guardian.Externe sensoren- Identiteit, data, eindpunten, netwerken, looptijden, clouds, geen modellen. Dit is een voorwaarde voor de oprichting ervan.

Ten derde, en meest eerlijk: de transparantie van modellen (de keten van denken, enz.) wordt behandeld alsBewijsbronnenEén, maar de tekst voegt meteen toe:"Het model kan niet zijn eigen veilige grens zijn. Een onafhankelijk systeem moet elke laag observeren, inclusief het model zelf.

Om eerlijk te zijn, deze drie lagen van reactie zijn logisch comfortabel, maar er zijn twee hechtingen over op het project, en ik denk dat het moet komen:

Ten eerste: De geloofwaardigheid van bewijs hangt af van wie het bewijs heeft.Voor lokaal uitgevoerd Agent (Claude Code, Codex, enz.) zijn de sensoren op uw eigen eindpunt, en de keten van bewijs is schoon. Echter, Agent, de cloud host, beheerde logs, gedachteketens en call records zijn in de salon. Wat je hebt is een samenvatting, geen ruwe data. Het woord "onafhankelijke audit" wordt gedisconteerd op cloud agent.

Tweede gang: Wachter is zo moe als de mens.Het is niet moe, maar het heeft een vals alarm. Wanneer 10.000 Agenten 100.000 "risico stijgt" per dag, Guardian auto-depressie, auto-scheiding bewegingen beginnen de bedrijfscontinuïteit te beïnvloeden. Op dat moment is de echte bottleneck geen detectie.Wie zal de kosten van de slechte daad dragen?Ik weet het niet. Het oorspronkelijke antwoord is "mensen houden belangrijke beslissingen," maar waar is de "significante" grens?

Dit is geen ontkenning van dit kader. Integendeel, weinig fabrikanten hebben deze twee steken duidelijk in het architectuurdocument kunnen steken. Maar als lander moet je weten waar de steek is.

Zeven, de andere helft van dezelfde week, agent aan de overkant is al op de vlucht.

Als je alleen naar Microsoft kijkt, is het een toekomstige trend. Zet de 21ste oktober samen, de natuur verandert.

Microsoft stuurde een dreiging bericht op dezelfde dag: Storm-0940 Een aanvaller veroordeeld voor Chinese nationale achtergrond. ARTEX Het intelligente penetratiekader, dat sinds september 2026 geautomatiseerd is, heeft honderden organisaties over de hele wereld getroffen in veel industrieën.Veel van deze gevallen duurden minder dan drie uur, van targeting tot bevoorrechte toegang tot cloud-infrastructuur.

En het hangt aan een echte toeleveringsketen -- Microsoft heeft geïdentificeerd Storm-0940 als de dader van de recente multi-tenant toepassing van de supply chain. Het aanvalspad is om de toepassing te nemen en vervolgens de goedgekeurde toestemming te gebruiken om Microsoft 365 client omgeving te authenticeren zonder interactieve login.

Microsoft schreef een zeer gevestigde zin:"Agent is niet onderworpen aan menselijke beperkingen. Het kan 7x24 werken, weekends, feestdagen, en proberen meerdere indringer paden."

Stel het samen, 2026, oktober, de week kwam uit:

• 10 oktober, CEO set: het model is een intern risico en verantwoordelijkheid kan niet worden uitbesteed;
• 19 oktober, Kaderlanding: detectie, beperking, bescherming, aanpassing;
• Op 21 oktober, tegenover vuur: 3 uur om privileges te nemen.

Aan de ene kant is het zijn agent te capabel, aan de andere kant is het Agent te snel.Deze twee lijnen raken in hetzelfde kwartaal, niet als trendvoorspellingen, maar als huidige risico's.

Acht, mensen in verschillende posities, wat kunnen we nu doen?

Ik hou niet van de uitdrukking "zaken moeten een systeem opzetten," maar het is alsof je niets zegt. Gesplitst op karakter.

Als jij verantwoordelijk bent voor ISO of beveiliging,

Het eerste is niet om E7 te kopen.Eerst, ruim je familie op, agent.Ik weet het niet. Het uitgangspunt voor Microsoft's set is "niemand kan zien" en jij ook. Stel nu drie vragen: hoeveel agenten lopen er in het bedrijf, wie bouwde het, en welke autoriteit elk nam. Ik denk dat de meeste bedrijven de derde niet kunnen beantwoorden.

Het tweede is...Doe het uit.Ik weet het niet. Agent's werk als mens is nu de meest voorkomende en de makkelijkste plek om te gebeuren.Je kunt niet eens zien of het een mens of een mens is. Entra kan het doen zonder een enkele servicerekening voor Agent en een aparte voucher, die puur zonder geld wordt beheerd.

Als u een IT of een platform team bent

De minimale landbare versie is vier: container isolatie (niet om Agent te laten uitvoeren direct op de gastheer), afgifte van een missie voucher (niet om een lange termijn AK te gebruiken), stop het verkeerscontrole (elke externe oproep van Agent wordt geregistreerd), en concentratie van actie logs (niet alleen brieven Agent's eigen antwoord). Geen van deze vier heeft E7 nodig.

Als je een ontwikkelaar bent,

Men zou nu moeten lezen:Schrijf geen rechten in de hints.De zin "je hebt geen toegang tot /etc" is geen beveiligingscontrole op het niveau van de hint, maar alleen advies. De werkelijke grens moet op het niveau van het gereedschap, op netwerkniveau, op systeemniveau liggen. Welke familie je ook gebruikt, agent is erin geluisd.

Als je in een klein team zit, heb je geen budget.

De vier werkwoorden van Microsoft zijn eigenlijk met de hand geschreven: een Agent List (Kennen), een formulier (Contain) dat elke Agent toestaat te doen, een afzonderlijke Minimum Permissie Certificaat (Protect) voor elke Agent, een enkele doorzoekbare plaats in het logboek en een wekelijkse lezing van Adapt. Binnen één week werk is het resultaat niet minder dan dat van het product.

IX. Eindoordeel in de zin

Het is geen productlijn, het is een standaard waarde.

De afgelopen tien jaar is de default waarde voor corporate security innerlijk geloofwaardig geweest, grensverdediging. Zero trust heeft er lang over gedaan om deze standaard te veranderen, en inmiddels gebruikt de helft van de bedrijven het idee van "net is safe."

Agent duwde de vraag opnieuw en duwde het harder:Het is geen in-house persoon die kan worden opgeleid, gedisciplineerd en verwerkt door middel van het scheidingsproces. Het heeft geen loyaliteit in zijn geheugen, noch heeft het geen interesse in. Het is alleen toegestaan.

Dus het antwoord op die vraag is eenvoudig en moeilijk:Zoveel macht als je het geeft, kan het zoveel schade veroorzaken als het kan.

Microsoft's oplossing is om de bevoegdheden te beperken tot nul, om te taken, tot tijd, tot hoogrisico VIP's. Het is niet nieuw, het duwt het principe van minimale autoriteit naar de snelheid van de machine. Nieuw is dat het voor het eerst toegeeft:In dit systeem kun je geen veiligheid krijgen door te vertrouwen op een model, maar door het niet te vertrouwen.

Als dat waar is, moeten alle verkopers die Agent verkopen dezelfde vraag beantwoorden:In hoeverre kan uw model worden vertrouwd en het systeem draait?

Als het antwoord niet goed is, staat de volgende op de lijst.