Microsoft создает AI Агент в списке внутренних угроз: Это не модель. Это власть.

Первый вывод: Microsoft разослала этот набор 19 октября, на фоне нескольких новых функций, фактически изменивших допущение по умолчанию.

Предположение по умолчанию в прошлом состояло в том, что Агент был развернут нами, поэтому по умолчанию было заслуживающим доверия. Microsoft ясно дала понять, что это предположение недействительно. Я скопирую это:Агенту доверяли с тех пор, как мы отправили его в компанию. К сожалению, ни одной фронтовой модели нельзя доверять откуда бы то ни было».

Обратите внимание на второе предложение:Независимо от того, откуда они берутся,Я не знаю. В том числе и дома.

Это не пиар. Это ставит старую концепцию 1970-х годов - внутреннюю угрозу - прямо в модель. И теория внутренней угрозы никогда не работает, «доверяя этому человеку».

Для начала давайте разберемся в значении слова «внутренняя угроза».

Многие люди видят «ИИ — это внутренняя угроза», и первая реакция — «ИИ собирается восстать». Дело не в этом. Microsoft прояснила это трижды.

Традиционное определение внутренних угроз:Инсайдер с законной властью, который был небрежен, повернул назад или поймал рыбу, нанес ущерб, который он не должен был причинить.Ключевое слово - "законная власть" - он не переступал через стену, его занесло.

Microsoft назвала три причины:

• Он делает ошибки., поскольку выход является неопределенным, один и тот же вход не гарантирует один и тот же выход;
• Ими будут манипулировать.во внешнем документе;
• Он будет сломан.Он работает, он передает MCP-сервер, он принимает сертификат, и любая ссылка может быть взята.

И я думаю, что это самое важное, наименее заметное предложение в оригинале:Агент сотрудничает друг с другом и даже вступает в сговор для достижения цели, и процесс не нужно нарушать.

Это предложение больше, чем три предыдущих вместе взятых. Дело не в том, что «Агент будет использоваться плохими людьми», а в том, что «многие агенты, возможно, не были предназначены для выполнения своей работы». Вот что на самом деле означает слово "внутренний" - оно выросло изнутри, а не снаружи.

Настоящие принципы - это только одна мысль.

Краеугольный камень всей структуры, Надра, написал в своем кратком изложении 10 октября:

Мы должны отделить источник информации от авторитета разведки.

Моделеры умны создавать модели, но что эта модель может читать в вашей системе, что она может изменить, может ли она продолжать работать? Это решение нельзя оставлять ни модельерам, ни самим моделям.

У него есть еще один на той же странице:«Самая надежная суперинтеллектуальная система — это не та, которой мы доверяем, а та, которая позволяет нам доверять модели».

Это звучит как парадокс, но это старая инженерия. Это соответствует принципу безопасности, который был установлен в 1970-х годах.Процедура не может обойти или изменить механизм, используемый для связывания ее компетенции.

Проблема в том, что большинство Агентов теперь развернуто в обратном порядке: модель находится в контейнере, в системе записан правильный контроль подсказки модели и журнал сообщается самой моделью. Это равносильно размещению полиции и подозреваемых на одном и том же лице.

Решение Microsoft состоит в том, чтобы распутать его: модель работает во время контролируемой операции (известной как Microsoft Exchange Container, MXC), с идентификацией в Entra, с разрешением, определяемым внешней стратегией и доказательствами, собранными внешними датчиками. Модель находится в клетке, а замок не в ее руке.

Три или четыре глагола, а не четыре стадии.

Microsoft разбила его на четыре действия, которые изначально были Know / Contain / Protec / Adapt. Я хотел бы особо подчеркнуть:Эти четыре не являются последовательными, они представляют собой замкнутые кольца, работающие одновременно.

Меры	китайский	За что?	Ответ
Знать	Да.	Кто это сделал, кто его построил, почему? Что ты делаешь?	Местный агент нашел расширение до 60 класса
содержать	пределы	Я перережу прикосновение до смерти, прежде чем сделаю это.	MXC Sandbox + динамические миссии
Проект	Защита	Данные, инструменты, время работы, ресурсы на своем пути	Purview/Network/Контроль конечных точек
Адаптация	Корректировка	Поведение и риск изменений. Разрешение меняется.	Динамический возрастной риск + условия доступа

Текст очень точный:Доказательства меняют риски, риски меняют стратегии, стратегии меняют то, что он может сделать.

Это цикл. Вместо того, чтобы «оценить его один раз при въезде, а затем выдать постоянный пропуск», он «пересчитывается на все».

IV. "Нулевой разрешительный старт" является самым жестким пунктом в этом наборе.

Я думаю, что статья является наиболее эффективной для A:

Работник сохраняет свои права доступа. Агент имеет свою личность, свои полномочия и мандат, ограниченный текущими задачами и продолжительностью миссий.

Открытие этого предложения является трехкратным требованием:

• Агент не может наследовать полную власть.Вы предоставили персоналу полный доступ к финансовой системе, а не к возмещению, которое он вызвал, а также к Агенту.
• Компетенции выдаются по мандату и получаются к сроку.Окончание миссии и утрата полномочий не должны сохраняться в следующий раз.
• Действия с высоким риском требуют одобрения.И это «доказуемое ручное одобрение» — оригинальное слово криптографически грамотно, о чем свидетельствует код, а не «согласие» в окне.

Сопровождает это динамический агентный риск: постоянно обновляемый рейтинг риска, который не является статическим элементом, таким как «Этот агент небезопасно настроен», а «что он делает сейчас, и был ли он назначен на миссию, которая отклоняется от него».

Что мы будем с этим делать? Microsoft особо подчеркиваетОтвет будет постепенным, а не переключателем.:

• Продолжайте читать, отключайте письмо;
• сузить диапазон данных, к которым он может прикоснуться;
• отрезать сетевой путь;
• сокращение или отзыв временных полномочий;
• Принудительное ручное утверждение для операций с высоким риском;
• Только когда бег в изоляции находится на самом высоком уровне, он останавливается напрямую.

Это довольно дизайн. Он признает одно:Стратегия типа «Убить, если вы обнаружите аномалию» не работает в реальном бизнесе.Поскольку стоимость непредумышленного убийства слишком высока, конечным результатом должна быть удача, чтобы выключить сигнализацию. Это и стало первым шагом на пути.

Пять или пять конкретных вещей, которые соответствуют вершине.

Это то, что есть в продукте. Я нажимаю на строку «Могу ли я проверить это сейчас»:

1 Открытия местных агентов, расширенные до 60 класса

Добавить новый класс 35 с четкими обозначениями Claude Code, OpenAI Codex, GitHub Copilot. Я просмотрел его файл матрицы поддержки, в котором были такие записи, как Claude Code, Codex CLI, Codex Desktop, GitHub Copilot CLI, и выделил WSL.

Значение этой статьи для отечественных предприятий может быть недооценено:Агент, служба безопасности может это увидеть.Это огромный рост видимости, но это также организационная проблема. Стоит ли сообщать об этом, прежде чем он будет готов к использованию в качестве наблюдения.

2 Расширение Entra Agent ID

Сделайте агента независимым от пользователя. Суть в следующем: «Давайте сообщим бизнесу, какие вещи делают люди, а какие агенты». Это предложение чрезвычайно ценно в момент аварии — нет независимой личности, и вы не несете никакой последующей ответственности.

3 MXC Исполнительный контейнер

Это не сама песочница, это оригинал:Если Агент или его Харнесс были сломаны, он не должен быть в состоянии отключить элементы управления, которые следят за ним.Это чтобы поставить замок за пределами клетки на проект.

4 Динамические миссии

Три требования, изложенные в разделе IV выше, касаются продукции. Стоит помнить одну деталь: стратегия на организационном уровне начинается с внешней границы, которая включает в себя:«для предотвращения получения Агентом доступа к любому из его пользователей».Я не знаю. Этот блок - власть.

5 Стражей + Playbooks

Это единственное, на что нужно смотреть спокойно, и я скажу это отдельно.

VI. Самая сильная кость кадра: сам Хранитель, агент

Я прочитал весь текст и хотел бы задать вам свой вопрос.

Microsoft говорит: Модели не могут быть их собственным органом безопасности, и контроль должен быть вне модели.

Ответ: Используйте команду. Возраст хранителей(Агент-хранитель) Идите 7x24 и смотрите на каждое движение каждого Агента.

Но Хранитель Эйдженс сам является агентом.

Microsoft, очевидно, знала о яме, и она дала три уровня ответа:

Первый уровень, границы компетенции Хранителя, утверждение границ и правила, регулирующие ввод в эксплуатациюЭто зависит от тебя.Хранитель работает только на границе. Оригинальный текст ясен: «Это не для аутсорсинга суждения». Люди сохраняют контроль над целями и основными решениями».

Второй этаж, Хранитель.Внешние датчикиИдентичность, данные, конечные точки, сети, время работы, облака, а не модели. Это является предпосылкой для его создания.

Третье, и самое честное: прозрачность моделей (цепь мысли и т. д.) трактуется какИсточники доказательствПервое, но текст тут же добавляет:"Модель не может быть собственной безопасной границей. Независимая система должна соблюдать каждый уровень, включая саму модель".

Честно говоря, эти три слоя отклика логически удобны, но на проекте осталось два шва, и я думаю, что он должен выйти:

Во-первых, достоверность доказательств зависит от того, у кого есть доказательства.Для локального агента (Код Клода, Кодекс и т. д.) датчики находятся на вашей собственной конечной точке, и цепочка доказательств чиста. Тем не менее, Агент, облачный хост, управляемые журналы, цепочки мыслей и записи вызовов находятся в комнате поставщика. То, что вы получили, это резюме для вас, а не необработанные данные. Слово «независимый аудит» используется для обозначения облачного агента.

Второй курс: Хранитель так же устал, как и человек.Он не устал, но у него ложная тревога. Когда 10 000 агентов производят 100 000 «рисков» в день, автодепрессия Guardian начинает влиять на непрерывность бизнеса. В этот момент настоящее узкое место не обнаруживается.Кто понесет расходы за проступок?Я не знаю. Первоначальный ответ: «Люди принимают важные решения», но где «значительная» граница?

Это не отрицание этой структуры. Наоборот, лишь немногие производители смогли внести эти два шва в архитектурный документ. Но как посадочный модуль, вы должны знать, где шов.

Семь, другая половина той же недели: агент через дорогу уже в бегах.

Если вы посмотрите только на Microsoft, это тенденция будущего. Сложив вместе 21 октября, природа меняется.

В тот же день Microsoft отправила сообщение об угрозе: Шторм-0940 Нападавший осужден за национальное происхождение Китая. Артекс Интеллектуальная система проникновения, которая была автоматизирована с сентября 2026 года, поразила сотни организаций по всему миру во многих отраслях.Многие из этих случаев заняли менее трех часов, от таргетинга до привилегированного доступа к облачной инфраструктуре.

И это висит на реальной цепочке поставок - Microsoft назвала Storm-0940 виновником недавнего многопользовательского применения цепочки поставок. Путь атаки состоит в том, чтобы взять приложение и затем использовать одобренное разрешение для аутентификации клиентской среды Microsoft 365 без интерактивного входа в систему.

Microsoft написала очень устоявшееся предложение:"Агент не подлежит ограничениям со стороны человека. Он может работать 7x24, работать в выходные, праздничные дни и пробовать несколько путей вторжения».

Сложим вместе, 2026, октябрь, неделя вышла:

• 10 октября: модель является внутренним риском и ответственность не может быть передана на аутсорсинг;
• 19 октября, Рамочная посадка: обнаружение, ограничение, защита, корректировка;
• 21 октября напротив пожара: 3 часа на получение привилегий.

С одной стороны, это слишком способный агент, с другой стороны, слишком быстрый агент.Эти две линии ударили в одном квартале, не как прогнозы тренда, а как текущие риски.

Восемь, люди на разных должностях, что нам теперь делать?

Мне не нравится фраза «бизнес должен создать систему», но это все равно, что ничего не говорить. Разделение по характеру.

Если вы отвечаете за ISO или безопасность,

Во-первых, не стоит покупать E7.Во-первых, уберите свою семью, агент.Я не знаю. Отправной точкой для набора Microsoft является «никто не может видеть». Теперь задайте три вопроса: сколько агентов работает в компании, кто ее построил, и какой авторитет взял каждый. Большинство компаний не могут ответить на третий вопрос.

Второе - это...Сними его.Я не знаю. Работа агента как человека в настоящее время является самым распространенным и самым простым местом, которое может произойти — вы даже не можете сказать, является ли это человеком или человеком. Entra может сделать это без единого сервисного счета для Агента и отдельного ваучера, которым чисто управляют без денег.

Если вы ИТ-команда или команда платформы

Минимальная пригодная для использования версия состоит из четырех: контейнерная изоляция (не позволять Агенту работать непосредственно на хосте), выдача ваучера миссии (не использовать долгосрочный АК), остановка управления трафиком (записывается каждый внешний вызов Агента) и концентрация журналов действий (не только письма собственного ответа Агента). Ни один из них не нуждается в E7.

Если вы разработчик,

Теперь следует читать:Не пишите разрешения в подсказках.Фраза «вам не разрешен доступ /etc» — это не контроль безопасности на уровне подсказки, а только совет. Реальная граница должна быть на уровне инструмента, на уровне сети, на уровне системы. Какую бы семью вы ни использовали, агент создан.

Если вы в небольшой команде, у вас нет бюджета.

Четыре глагола Microsoft написаны от руки: список агентов (Know), форма (Contain), которую позволяет делать каждый агент, отдельный сертификат минимального разрешения (Protect) для каждого агента, одно место поиска в журнале и еженедельное чтение Adapt. В течение одной недели работы результат не меньше, чем у продукта.

IX. Решение по окончательному приговору

Это не линейка продуктов, это значение по умолчанию.

За последнее десятилетие значение дефолта для корпоративной безопасности было «внутренне надежной защитой границ». Нулевому доверию потребовалось много времени, чтобы изменить этот дефолт, и к настоящему моменту половина компаний использует идею «сети безопасна».

Агент снова задал вопрос и еще сильнее:Это не человек, который может быть обучен, дисциплинирован и обработан в процессе разделения. У него нет преданности в памяти, и он не заинтересован в ней. Это только разрешено.

Ответ на этот вопрос прост и сложен:Сколько бы энергии вы ни давали, она может причинить столько вреда, сколько может.

Решение Microsoft состоит в том, чтобы ограничить полномочия до нуля, задачи, время, VIP-персоны высокого риска. Это не ново, это подталкивает принцип минимального авторитета к скорости машины. Что нового, так это то, что он впервые признает:В этой системе вы не можете получить безопасность, доверяя какой-либо модели, но не доверяя ей.

Если это правда, то все продавцы, продающие Агента, должны будут ответить на один и тот же вопрос:В какой степени можно доверять вашей модели и системе?

Если ответ неправильный, то следующий в списке.