AI 智能体正在接管越来越多的工作，但一个尴尬的问题也越来越明显：这些能读数据、能调工具、能替你做决定的智能体，到底该被信任到什么程度？10 月 19 日，微软给出了一个相当不客气的答案——把企业里跑着的 AI 智能体，当作潜在的“内鬼”来管。

这次发布了什么

微软宣布了两组互相配合的能力，都挂在 Project Perception 安全框架和顶配办公套件 Microsoft 365 E7 之下。

第一组是 Guardian Agents，直译过来就是“守卫智能体”：用专门的 AI 系统实时监督其他智能体的活动，发现可疑行为就按严重程度介入。微软描述了四个持续运转的职责：知道企业里有哪些智能体在跑；在它们动手之前，先框定每个智能体能访问什么、能做什么；保护智能体路径上的数据、工具和系统；随着行为、上下文和风险的变化，动态调整防护。

第二组是识别与管控。Defender 的智能体发现能力新增支持 35 种本地运行的智能体类型，总数达到 60 种，点名包括 Claude Code、OpenAI Codex 和 GitHub Copilot。发现之后，系统会给每个智能体持续更新风险评估——依据是它能接触到什么数据、它的行为是否开始偏离被分配的任务。风险升高时，管控可以分档收紧：只允许读数据、不允许改；高风险动作必须经过人工批准；或者直接把智能体停掉。

视角为什么转了

Project Perception 最早是微软在 2026 年年中推出的，初衷是防“外面”的 AI 攻击：红、蓝、绿三组智能体互相攻防，挡的是 Anthropic 的 Mythos、Fable 这类黑客模型和 OpenAI 的 Daybreak 漏洞扫描系统。现在微软把同一套思路调转过来，对准了企业“里面”的智能体。

微软安全业务负责人 Hayete Gallot 的说法很直白：智能体已经被大规模放进企业，数量还在快速增长，而且普遍权限过大——能接触数据、工具和系统，能在关键流程里做决定、采取行动。它们已经成了“积极参与企业运转的行动者”，也就是她所说的“agentic insiders”（智能体内鬼）。即使没有被攻击者劫持，权限过大的智能体也可能偏离组织原本的任务。

微软 CEO 纳德拉在本月初的一篇博客里把话说得更透：“最值得信赖的超级智能系统，不会是那个模型最让人信任的系统，而是那个让人最不需要信任模型的系统。”管控必须来自模型之外，而不是来自对模型本身的信任。

这件事为什么值得所有用 AI 的人看一眼

第一，它标志着企业 AI 落地的门槛从“能力”转向了“治理”。智能体好不好用已经不是主要矛盾，敢不敢放进核心系统才是。能持续评估风险、动态收紧权限、关键时刻拉人工进来兜底的管控层，正在成为智能体产品的标配。

第二，“用 AI 管 AI”这条路被摆上了台面。Guardian Agents 本质上是用另一套智能体去监督智能体，监督者和被监督者分离。这对个人用户也有启发：给你的 AI 助手设最小权限、高风险动作坚持人工确认，道理是一样的。

第三，竞争已经开打。微软在和 Google、AWS、CrowdStrike、Okta 争夺“企业智能体管控中枢”的位置，同时还加入了英伟达牵头的 Open Agent Safety Platform（已有上百家科技公司支持），要用硬件级隔离来关停失控智能体。管控层的标准之争，接下来会和模型之争一样热闹。