Microsoft Đặt AI Đây không phải là mô hình. Đó là thẩm quyền.

Kết luận đầu tiên: Microsoft gửi tập này vào ngày 19 tháng 10, trên khuôn mặt của một số tính năng mới, thực sự thay đổi một giả định mặc định.

Giả thiết mặc định trong quá khứ là đặc vụ đã được triển khai bởi chính chúng ta, nên mặc định là đáng tin cậy. Microsoft đã nói rõ rằng giả định này không hợp lệ. Tôi sẽ sao chép lại:"Đại tá đã được tin tưởng kể từ khi chúng tôi triển khai anh ta bên trong công ty. Thật không may, không có mô hình tiền tuyến nào đáng tin cậy ở bất cứ đâu.

Hãy chú ý câu thứ hai:Dù nó đến từ đâu,Tôi không biết. Kể cả ở nhà.

Nó không phải là PR. Nó đưa một khái niệm cũ từ những năm 1970 -- mối đe dọa nội bộ -- thẳng tới mô hình. Và lý thuyết đe dọa nội bộ không bao giờ hiệu quả bằng cách "tin tưởng người đàn ông này."

Trước tiên, hãy hiểu ý nghĩa của từ "sự đe dọa nội bộ".

Nhiều người thấy "AI là mối đe dọa nội bộ" và phản ứng đầu tiên là "AI sẽ nổi loạn." Không phải vậy. Microsoft đã làm sáng tỏ 3 lần.

Định nghĩa truyền thống của mối đe dọa nội bộ là:Một người có thẩm quyền chính đáng, cẩu thả, quay lưng lại hoặc bắt cá, gây thiệt hại mà lẽ ra không nên gây ra.Mấu chốt là từ "quyền hành hợp pháp" -- anh ta không vượt qua bức tường, anh ta bị kéo vào.

Về đặc vụ, Microsoft đưa ra ba lý do:

• Nó phạm sai lầm., vì kết xuất không chắc chắn nên cùng một kết xuất không bảo đảm cùng một đầu ra;
• Nó sẽ bị thao túng.trong một tài liệu bên ngoài;
• Nó sẽ bị phá vỡ.Nó chạy, nó chuyển giao máy chủ MCP, nó lấy chứng nhận, và mọi liên kết có thể được lấy.

Và tôi nghĩ đó là câu quan trọng nhất, câu ít thấy nhất trong bản gốc:Đặc vụ hợp tác với nhau và thậm chí đồng lõa để đạt được mục tiêu, và quá trình này không cần phải bị phá vỡ.

Câu này lớn hơn ba câu trước cộng lại. Vấn đề không phải là "Đại diện sẽ được sử dụng bởi những kẻ xấu," mà là về "nhiều đặc vụ có thể không được thiết kế để làm việc của họ." Đó là từ "bên trong" có nghĩa -- nó phát triển từ bên trong, không phải từ bên ngoài.

NGUYÊN TẮC thật sự chỉ là một ý nghĩ duy nhất.

Nền tảng của toàn bộ khuôn khổ, Nadra, đã viết vào ngày 10 tháng Mười:

Chúng ta phải tách nguồn cung cấp thông tin khỏi thẩm quyền của trí thông minh.

Biến nó thành những từ lớn: người mẫu rất thông minh để tạo ra các mô hình, nhưng "Cái mô hình này có thể đọc được gì trong hệ thống của bạn, nó có thể thay đổi cái gì, nó có thể tiếp tục chạy?" Quyết định này không thể để lại cho người mẫu, hay cho chính bản thân họ.

Hắn có một cái khác trong cùng một trang:"hệ thống thông tin siêu đáng tin cậy nhất không phải là cái chúng ta tin tưởng vào mô hình, mà là cái cho phép chúng ta tin tưởng vào mô hình."

Nghe có vẻ nghịch lý, nhưng đó là kỹ thuật cũ. Nó tương ứng với một nguyên tắc an toàn được thiết lập vào những năm 1970:Một thủ tục không thể cắt đứt hoặc thay đổi cơ chế dùng để kết hợp khả năng của nó.

Vấn đề là hầu hết các đặc vụ được triển khai theo cách ngược lại: mô hình nằm trong container, kiểm soát đúng được viết trong gợi ý hệ thống của mô hình và bản ghi được báo cáo bởi chính bản thân mô hình. Cũng tương tự như việc đặt cảnh sát và nghi phạm lên cùng một cá nhân.

Giải pháp của Microsoft là tháo rối nó: mô hình chạy trong quá trình được kiểm soát (được biết đến như Microsoft Tracker, MXC), với danh tính ở Entra, với sự cho phép được xác định bởi chiến lược bên ngoài và bằng chứng thu thập bởi các cảm biến bên ngoài. Người mẫu ở trong lồng, và khóa không ở trong tay.

Ba hay bốn động từ, không phải bốn giai đoạn.

Microsoft chia nó thành bốn hành động, vốn là biết / ngăn chặn / Protec / thích nghi. Tôi muốn nhấn mạnh cụ thể:Bốn chiếc này không phải là địa điểm, chúng đang chạy cùng lúc.

Hành động	HoaName	Để làm gì?	Đáp ứng
Biết	Phải.	Ai đã tạo ra nó, tại sao? Anh làm gì vậy?	Đặc vụ địa phương tìm thấy phần mở rộng của lớp 60
chứa	Giới hạn	Tôi sẽ cắt đứt liên lạc đến chết trước khi làm điều đó.	Comment
Chổi	Bảo vệ	Dữ liệu, công cụ, thời gian chạy, nguồn lực trên đường đi của nó	Purview/ Mạng/ endpoint Control
Thích nghi	Điều chỉnh	Hành vi và rủi ro thay đổi. Quyền thay đổi.	Nguy hiểm tuổi động và điều kiện truy cập

Văn bản rất chính xác:Bằng chứng thay đổi rủi ro, rủi ro thay đổi chiến lược, chiến lược thay đổi những gì nó có thể làm.

Đó là vòng tuần hoàn. Thay vì "đặt nó một lần vào và sau đó đưa ra một giấy thông hành vĩnh viễn", nó được "tính toán cho tất cả mọi thứ."

IV. "Không được phép khởi động" là điều khoản khó khăn nhất trong bộ này.

Tôi nghĩ rằng bài báo là một trong những có hiệu quả nhất trên A:

Nhân viên giữ quyền truy cập của mình. Đặc vụ có danh tính riêng, thẩm quyền riêng, và một nhiệm vụ giới hạn trong nhiệm vụ hiện tại và giới hạn trong thời gian thực hiện nhiệm vụ.

Mở đầu của câu này là một yêu cầu ba lần:

• Đặc vụ không thể thừa kế toàn quyền.Anh đã cho toàn bộ nhân viên truy cập vào hệ thống tài chính, không phải sự hoàn trả mà anh ta đã gọi, mà cả đặc vụ nữa.
• Yêu cầu được đưa ra bởi lệnh và được nhận vào thời điểm giới hạn.Nhiệm vụ kết thúc và sự mất uy quyền sẽ không được duy trì trong lần tới.
• Hành động rủi ro cao đòi hỏi sự chấp thuận.Và đó là "sự chấp thuận thủ công bằng tay đáng tin cậy" - từ gốc là thành thạo về mặt mật mã, được chứng minh bằng mật mã, chứ không phải bằng chứng trong cửa sổ.

Cùng với đây là đặc vụ năng động rủi ro: một sự cập nhật rủi ro liên tục, mà không phải là một mục tĩnh như " Đặc vụ này được cấu hình một cách không an toàn" nhưng "nó đang làm gì bây giờ, và liệu nó có được chỉ định cho một nhiệm vụ đi lệch khỏi nó không."

Chúng ta sẽ làm gì với nó? Microsoft đặc biệt nhấn mạnhPhản ứng từ từ chứ không phải là bật công tắc.:

• Đọc tiếp đi, cắt chữ đi;
• Để thu hẹp phạm vi dữ liệu nó có thể chạm vào;
• Chặn đường dẫn mạng;
• Giảm hoặc rút khỏi quyền lực tạm thời;
• Yêu cầu cấp phép thủ công cho các hoạt động rủi ro cao;
• Chỉ khi chạy trong sự cô lập là mức cao nhất, nó mới được dừng lại ngay lập tức.

Đó là một thiết kế tuyệt vời. Nó thừa nhận một điều:Một chiến lược như "Kill nếu bạn tìm thấy một dị thường" không làm việc trong kinh doanh thực tế.Vì cái giá của tội ngộ sát là quá cao, kết quả cuối cùng phải là may mắn để tắt báo động. Vì vậy nó đưa ra bước đầu tiên.

5 hay 5 vật cụ thể khớp với đỉnh.

Đó là những gì có trong sản phẩm. Tôi nhấn nút "Tôi có thể xác minh ngay bây giờ"

1 đặc vụ địa phương phát hiện ra lớp 60

Thêm 35 lớp mới có tên rõ ràng là Claude Code, OpenAI Codex, GitHub Copitor. Tôi đã xem qua hồ sơ hỗ trợ ma trận của nó, có các mục như Claude Code, Codex CLI, Codex Desktop, GitHub Coclib CL, và chọn WSL.

Ý nghĩa của bài báo về các doanh nghiệp nội địa có thể bị đánh giá thấp:Đặc vụ, đội an ninh có thể thấy điều đó.Đó là một sự gia tăng tầm nhìn lớn, nhưng cũng là một vấn đề về tổ chức. Có nên báo cáo hay không trước khi nó được sử dụng để giám sát.

2 Phần mở rộng mã nhận diện đối tượng

Khiến đặc vụ độc lập với người dùng. Điểm mấu chốt là "Hãy cho công việc làm ăn biết con người làm gì và bởi đặc vụ nào." Câu này vô cùng quý giá vào lúc xảy ra tai nạn — không có nhân dạng độc lập, và bạn không có trách nhiệm sau đó.

3 MXC thi hành ngăn cản

Nó không phải là bản thân hộp cát, nó là bản gốc:"Nếu đặc vụ hoặc sự độc hại của nó bị phá vỡ, nó không thể tắt các điều khiển đang theo dõi nó."Cái này để khóa bên ngoài lồng dự án.

4 Nhiệm vụ động

Ba yêu cầu trong mục IV trên là sản xuất. Có một chi tiết đáng nhớ: chiến lược cấp độ tổ chức bắt đầu với một biên giới bên ngoài, bao gồm"để ngăn chặn đặc vụ tiếp cận bất kỳ người dùng nào của nó."Tôi không biết. Khu này là năng lượng.

5 Người bảo vệ và sách phát

Đây là điều cần được xem xét bình tĩnh, và tôi sẽ nói riêng.

VI. Xương cứng nhất trong khung hình: tự bảo vệ mình, đặc vụ.

Tôi đã đọc toàn bộ tin nhắn, và tôi muốn hỏi anh một câu hỏi của riêng tôi.

Microsoft nói: Mô hình không thể là chính quyền an ninh của họ, và kiểm soát phải nằm ngoài khuôn mẫu.

Và câu trả lời là, sử dụng một đội. Người bảo vệĐi 7x24 và nhìn chằm chằm vào từng cử động của các đặc vụ.

Nhưng tờ Guardian Agens là đặc vụ.

Microsoft rõ ràng biết về cái hố, và nó đưa ra ba lớp phản hồi:

Trình độ thứ nhất, ranh giới của các Hộ Vệ, sự chấp thuận của ranh giới, và các quy tắc chi phối việc ủy thácTùy anh thôi.Guardian chỉ hoạt động bên trong biên giới. Bản gốc rõ ràng: "Điều này không phải để đánh giá nguồn lực." Người ta kiểm soát mục tiêu và quyết định chính.

Tầng 2, Guardian.Cảm biến bên ngoài- Nhận dạng, dữ liệu, điểm kết thúc, mạng lưới, thời gian chạy, mây, không phải mô hình. Đây là điều kiện tiên quyết.

Thứ ba, và trung thực nhất: sự minh bạch của các mô hình (dòng suy nghĩ, vv.) được đối xử nhưNhững bằng chứngMột, nhưng câu Kinh Thánh nói thêm ngay:"Người mẫu không thể là biên giới an toàn của chính nó. Một hệ thống độc lập phải quan sát mỗi lớp, kể cả mô hình.

Thành thật mà nói, ba lớp phản ứng này rất thoải mái, nhưng chỉ còn lại hai mũi khâu, và tôi nghĩ nó phải được đưa ra:

Thứ nhất: Sự đáng tin cậy của bằng chứng tùy thuộc vào ai có bằng chứng.Đối với đặc vụ địa phương (Claude Code, Codex, etc.), các cảm biến ở vị trí cuối cùng của bạn, và chuỗi bằng chứng trong sạch. Tuy nhiên, đặc vụ, người chủ đám mây, người điều hành nhật ký, nghĩ rằng dây xích và cuộc gọi hồ sơ trong phòng cung cấp. Những gì bạn có là một tóm tắt của nó cho bạn, không phải dữ liệu thô. Từ "trong kiểm toán phụ thuộc" được giảm giá trên đặc vụ đám mây.

Khóa học thứ hai: Guardian cũng mệt mỏi như con người.Nó không mệt, nhưng nó có báo động giả. Khi 10.000 đặc vụ sản xuất 100,000 "sự gia tăng nguy cơ" mỗi ngày, Giám Hộ-tự động phân chia tự động bắt đầu ảnh hưởng đến sự liên tục kinh doanh. Lúc đó, cổ chai thật sự không bị phát hiện.Ai sẽ gánh lấy cái giá của việc làm sai trái?Tôi không biết. Câu trả lời ban đầu là "người ta giữ những quyết định quan trọng", nhưng ở đâu là biên giới " chư hầu"?

Đây không phải là phủ nhận khuôn khổ này. Ngược lại, ít nhà sản xuất nào có thể khâu hai mũi này một cách rõ ràng vào tài liệu kiến trúc. Nhưng với tư cách là người hạ cánh, bạn phải biết chỗ khâu.

Bảy, nửa còn lại của cùng một tuần, đặc vụ bên kia đường đang chạy trốn.

Nếu bạn chỉ nhìn vào Microsoft, đó là một xu hướng tương lai. Đặt 21 tháng 10, tự nhiên thay đổi.

Microsoft gửi một thông điệp đe dọa cùng một ngày: Storm-0940 Một kẻ tấn công bị kết án về nền tảng quốc gia Trung Quốc. ARTEX Cơ cấu thâm nhập thông minh, đã được tự động hóa từ tháng 9 năm 2026, đã tấn công hàng trăm tổ chức trên khắp thế giới thông qua nhiều ngành công nghiệp.Nhiều trường hợp trong số này mất ít hơn ba giờ, từ mục tiêu đến đặc quyền truy cập cơ sở hạ tầng đám mây.

Và nó được treo trên một chuỗi cung ứng thực sự -- Microsoft đã xác định Storm-0940 là thủ phạm của ứng dụng đa tấn gần đây của chuỗi cung ứng. Đường dẫn tấn công là lấy ứng dụng và sau đó sử dụng quyền chấp thuận để xác thực môi trường khách hàng Microsoft 365 mà không cần đăng nhập tương tác.

Microsoft đã viết một câu được thiết lập rất tốt:"Ông chủ không bị hạn chế bởi con người. Nó có thể hoạt động 7x24, nghỉ cuối tuần, nghỉ lễ, và thử nhiều cách xâm nhập."

Tổng hợp lại, 2026, tháng 10, tuần tới:

• 10 tháng 10, CEO thiết lập: mô hình này là một rủi ro nội bộ và trách nhiệm không thể vượt quá nguồn lực;
• 19 tháng 10, hạ cánh làm khung: phát hiện, hạn chế, bảo vệ, điều chỉnh;
• Ngày 21 tháng 10, lửa đối diện: 3 giờ để nhận đặc ân.

Một mặt, nó là đặc vụ quá khả năng, mặt khác nó là đặc vụ quá nhanh.Hai đường thẳng này đi vào cùng một quý, không phải như dự đoán xu hướng, mà là rủi ro hiện tại.

Tám, những người ở những vị trí khác nhau, chúng ta có thể làm gì bây giờ?

Tôi không thích cụm từ "công việc nên thiết lập một hệ thống", nhưng nó giống như không nói gì cả. Từng người một.

Nếu bạn phụ trách ISO hoặc bảo vệ,

Điều đầu tiên là không mua E7.Đầu tiên, dọn dẹp gia đình đi, đặc vụ.Tôi không biết. Điểm bắt đầu của Microsoft là "không ai có thể nhìn thấy" và bạn cũng có thể thấy. Bây giờ hãy hỏi ba câu hỏi: có bao nhiêu đặc vụ đang chạy trong công ty, xây dựng nó, và mỗi đặc vụ nhận được quyền hạn nào. Tôi đoán hầu hết các công ty không thể trả lời câu hỏi thứ ba.

Điều thứ hai là...Cởi ra.Tôi không biết. Công việc của một đặc vụ như một con người bây giờ là nơi phổ biến nhất và dễ dàng nhất xảy ra - bạn thậm chí không thể biết đó là một con người hay một con người. Entra có thể làm điều đó mà không cần một tài khoản dịch vụ cho đặc vụ và một giấy chứng nhận riêng biệt, mà hoàn toàn được quản lý mà không cần tiền.

Nếu bạn là một IT hoặc một đội ngũ

Phiên bản hạ cánh tối thiểu là bốn: sự cô lập công cụ (không cho phép Đặc vụ trực tiếp chạy trên máy), khả năng bảo đảm nhiệm vụ (không dùng AK dài hạn), dừng điều khiển giao thông (được đặc vụ ghi âm), và tập trung các bản ghi hành động (không chỉ thư trả lời của đặc vụ). Không ai trong số 4 người này cần E7.

Nếu bạn là một nhà phát triển,

Bây giờ người ta nên đọc:Không ghi quyền hạn vào các gợi ý.Cụm từ "bạn không được phép truy cập /etc" không phải là kiểm soát an ninh ở cấp độ gợi ý, mà là chỉ lời khuyên. Giới hạn thực sự phải ở mức độ công cụ, ở mức độ mạng lưới, ở mức độ hệ thống. Bất cứ gia đình nào anh dùng, đặc vụ sẽ bị gài.

Nếu bạn ở trong một đội nhỏ, bạn không có ngân sách.

4 động từ của Microsoft thực sự được viết bằng tay: một danh sách đặc vụ (biết), một dạng (Contain) mà mỗi đặc vụ cho phép làm, một giấy chứng nhận quyền hạn tối thiểu riêng biệt (bảo vệ) cho mỗi đặc vụ, một vị trí tìm kiếm duy nhất trong bản ghi nhật ký và một lần đọc hàng tuần của thích ứng. Trong vòng một tuần làm việc, kết quả không kém của sản phẩm.

IX. Phán xét cuối cùng

Nó không phải là một dòng sản phẩm, nó là giá trị mặc định.

Trong thập niên vừa qua, giá trị mặc định cho an ninh công ty là “sự đáng tin cậy, bảo vệ biên giới. Mất một thời gian dài để thay đổi mặc định này, và giờ đây một nửa các công ty đang sử dụng ý tưởng "net an toàn."

Đặc vụ lại đặt câu hỏi và đẩy mạnh nó:Nó không phải là một người nội trú có thể được đào tạo, kỷ luật và xử lý thông qua quá trình tách biệt. Nó không có lòng trung thành trong trí nhớ, cũng không có hứng thú với nó. Nó chỉ được ủy quyền.

Câu trả lời cho câu hỏi đó rất đơn giản và khó khăn:Nó có thể gây ra nhiều thiệt hại nhất có thể.

Giải pháp của Microsoft là giới hạn sức mạnh bằng 0, với nhiệm vụ, với thời gian, với VIP có nguy cơ cao. Nó không phải là mới, nó đẩy nguyên tắc của quyền hạn tối thiểu đến tốc độ của máy móc. Điều mới là nó thừa nhận lần đầu tiên:Trong hệ thống này, bạn không thể có được sự an toàn bằng cách tin tưởng bất cứ mô hình nào, nhưng bằng cách không tin tưởng nó.

Nếu đó là sự thật, thì tất cả những người bán đặc vụ sẽ phải trả lời câu hỏi tương tự:Mô hình của bạn có thể được tin cậy và hệ thống chạy đến mức nào?

Nếu câu trả lời không tốt, câu tiếp theo sẽ nằm trong danh sách.