发生了什么
10 月 19 日，微软宣布在 Project Perception 与 Microsoft 365 E7 中新增一组面向企业内部智能体的安全能力，核心是把「已经跑在企业内部的 AI 智能体」按内部威胁来管理，而不是默认信任。新增的 Guardian Agents 会在每一次智能体动作执行之前进行监督，并在风险升高时收缩权限、要求人工审批或直接中断运行。
- 本地智能体发现范围从 25 类扩展到 60 类，新增 Claude Code、OpenAI Codex 与 GitHub Copilot；
- Entra Agent ID 增加新的身份类型，使通过安全传感器发现的本地或此前未知的智能体也能成为策略对象；
- Dynamic Agent Risk 综合身份、数据、终端、云、网络与运行时信号，持续计算单个智能体的风险分值；
- Dynamic Conditional Access 让风险变化直接触发跨执行点的动作，例如保留只读、切断写入、缩短授权时限；
- 微软执行容器（MXC）等沙箱提供策略边界，使被攻陷的智能体或其运行框架无法关闭监视自己的控制项。
从「写制度」到「管执行」
过去两年，企业对智能体的治理多停留在准入清单、提示词规范与人工复核，约束发生在智能体行动之外。微软这次强调的差别在于控制点前移到执行时：策略由平台侧强制，而不是依赖模型自觉。这对已经让编码智能体、办公智能体接触代码库、邮件与财务系统的企业有直接意义——一旦出现提示注入或目标漂移，处置手段从「事后追查日志」变成「运行中降权或停机」。
微软同时把「模型不可信」写成了产品前提。企业不能因为采购了某家实验室的模型，就把智能体代表企业行事的责任一并外包；身份、权限与审计需要由模型供应商之外的系统承担。这一判断与其首席执行官此前的公开表态一致，也是 Project Perception 从「防外部 AI 攻击」转向「防内部智能体」的逻辑起点。
仍需观察的地方
- 该能力捆绑在 Microsoft 365 E7（每用户每月 99 美元）中，实际落地成本取决于企业既有订阅结构；
- 60 类本地智能体的发现覆盖率、误报率与对非微软技术栈的实效，目前只有厂商口径，缺少第三方实测；
- 「执行前拦截」依赖平台对工具调用路径的完全接管，企业自建 MCP 服务器或私有 API 是否在管辖范围内，需逐一确认。
微软安全业务负责人 Hayete Gallot 的表述相当直接：「前沿模型无论来源是哪里，都无法完全信任。」