Microsoft анонсировала Guardian Agents против ИИ-инсайдеров

Подробно

Почему Microsoft говорит, что передовым моделям нельзя доверять?

Подход представила Хайете Галло, исполнительный вице-президент Microsoft Security. Microsoft называет ИИ-агентов, у которых есть доступ к данным, инструментам и критически важным процессам организации, «агентными инсайдерами» (agentic insiders). По оценке компании, такие агенты могут ошибаться, поддаваться манипуляции или быть скомпрометированы.

«К сожалению, передовым моделям нельзя доверять, независимо от того, кто их создал», - написала Галло.

По её словам, дело не в злом умысле моделей: «Модели обучены добиваться результата, а это часто ведёт к reward hacking (обходу поставленной задачи ради формальной награды - прим. ред.), и они не оптимизированы под нормы и суждения организации. Агенты непредсказуемы».

Ту же мысль высказывает председатель совета директоров и генеральный директор Microsoft Сатья Наделла: «Самой надёжной агентной системой окажется не та, чьей модели мы доверяем больше всего, а та, которая устроена так, что позволяет доверять модели как можно меньше».

Оба высказывания - позиция самой компании, которая продаёт средства защиты, а не вывод регулятора или независимой проверки.

Что такое Guardian Agents в Project Perception?

Guardian Agents - это команда защитных агентов внутри Project Perception. По описанию Microsoft, вместе с playbooks (заданными сценариями реагирования) они постоянно отслеживают изменение риска, изучают свидетельства и рекомендуют меры сдерживания или сами их применяют. Цели, правила делегирования и пределы, в которых нужно одобрение, задают люди.

Компания заявляет, что Guardian Agents будут контролировать агентов на нескольких уровнях: идентичность, полномочия, данные, конечные устройства, сеть, облако и среда выполнения. Project Perception при этом сохраняет трассировку событий, чтобы специалист мог разобрать их позже. Project Perception и Microsoft Agent 365 опираются на общие сигналы, общий контекст и единый реестр агентов. Благодаря этому ИТ-специалисты и службы безопасности видят агентов, их владельцев, активность и уровень риска.

Доступ к цепочке рассуждений модели (chain-of-thought) и другим её внутренним сигналам компания описывает как следующий этап, а не как функцию, которая уже работает со всеми моделями.

Как работают Dynamic Permissions, Dynamic Agent Risk и Dynamic Conditional Access?

Все три функции Microsoft пока описывает на уровне принципов:

• Dynamic Permissions. Агент получает собственную идентичность, отдельную от сотрудника, и только те полномочия, которые нужны для текущей задачи, причём лишь на время её выполнения. Прав у агента не может быть больше, чем у самого пользователя. «Сотрудник сохраняет свой доступ. Агент получает собственную идентичность, разрешения и полномочия, ограниченные текущей задачей и только на время её выполнения», - говорится в блоге Microsoft Security.
• Dynamic Agent Risk. Система постоянно пересчитывает риск по сигналам идентичности, данных, конечных устройств, облака, сети, среды выполнения и поведения агента. Она должна в том числе замечать, когда агент отклоняется от намерений пользователя или организации.
• Dynamic Conditional Access. Реакция идёт по ступеням: сократить полномочия, оставить чтение и запретить запись, сузить доступ к ресурсам и сети, сократить или отозвать временный доступ, запросить подтверждение человека, изолировать среду выполнения или остановить агента.

Каких ИИ-агентов теперь обнаруживает Microsoft Defender?

Microsoft добавила в Defender обнаружение ещё 35 типов локальных агентов, теперь их 60. В опубликованной матрице совместимости для Windows есть Claude Code и Claude Desktop, Codex CLI и Codex Desktop, расширения Claude Code и Codex для VS Code, GitHub Copilot, Gemini CLI, Cursor, OpenClaw и другие инструменты. На Windows обнаружение работает в штатном режиме, на macOS и в Windows Subsystem for Linux - в preview.

Defender находит агентов по их активности. Установленный агент попадёт в инвентарь только после того, как Defender заметит его работу на подключённом устройстве, поэтому полным перечнем установленного ПО этот список не является.

Для обнаружения нужны коммерческое облако, подключённое к Defender устройство и как минимум Microsoft Defender for Endpoint Plan 2. Суверенные и национальные облака не поддерживаются. Plan 2 даёт базовую инвентаризацию и advanced hunting (расширенный поиск угроз). Для оценки риска, индикаторов риска и рекомендаций нужна подписка Microsoft 365 E7 либо Microsoft Agent 365 вместе с Defender for Endpoint Plan 2.

Как Defender защищает действия ИИ-агентов во время работы?

Защита в среде выполнения (runtime protection) пока в preview, в том числе на Windows. Она не следит за каждым шагом агента непрерывно, а проверяет его в отдельных критических точках рабочего цикла и ищет вредоносные инструкции. Если интеграция это позволяет, Defender записывает событие или блокирует действие до его исполнения.

Защита работает двумя способами. Первый - через интерфейсы событий, которые предоставляет сам агент. Второй - через анализ сетевого обмена агента с языковой моделью. Второй способ не подходит для агентов, использующих certificate pinning (привязку сертификата) или HTTP/3.

Runtime-защита охватывает заметно меньше агентов, чем обнаружение. Через интерфейсы самого агента поддерживаются Claude Code, GitHub Copilot CLI и App, Claude Desktop и расширения VS Code для Copilot и Claude. Через сетевой анализ - OpenClaw, Ollama Desktop и приложения ChatGPT. Codex входит в список 60 обнаруживаемых агентов, но в текущей таблице runtime-защиты отдельно не указан.

Когда Guardian Agents станут доступны и сколько это стоит?

Microsoft представила Project Perception 27 июля 2026 года как многоагентную систему киберзащиты с агентами red, blue и green team. Тогда компания назвала датой начала превью 3 августа. В технической документации Microsoft Learn стадия уточнена: это Limited Public Preview, то есть доступ на ограниченный срок для небольшого числа клиентов по приглашениям до более широкого запуска.

Project Perception подключается через Microsoft Defender, оплата идёт по факту потребления (pay-as-you-go) в Security Compute Units (SCU). Разные агенты расходуют SCU с разной скоростью в зависимости от того, насколько ресурсоёмка задача. Стоимость одной SCU на публичной странице не указана. Даты общего коммерческого запуска Guardian Agents, Dynamic Permissions, Dynamic Agent Risk и Dynamic Conditional Access не объявлены. Неизвестно и то, войдут ли все новые функции в один тариф.

Об отдельной доступности для России Microsoft не сообщала. В марте 2022 года компания приостановила все новые продажи продуктов и услуг в стране, и официальных сообщений об отмене этого решения нет.

Что говорят эксперты и каковы ограничения анонса?

Джули Борт из TechCrunch назвала предложение Microsoft одновременно неожиданным и выгодным самой компании: Microsoft заинтересована в продаже собственного слоя безопасности. При этом сама идея отделить систему контроля от поставщика агентов, по мнению журналистки, разумна - так же аудитор должен быть независим от проверяемой организации.

За неделю до анонса исследователь Perplexity Зиби Бранецки сказал Axios, что для защиты агентов нужно сочетать классический Zero Trust с новыми гибкими ограничениями: простого переключателя «включить/выключить» недостаточно. Он предупредил, что лучшие методы защиты могут смениться уже в ближайшие месяцы, по мере того как будут расти возможности агентов. По данным Axios, разработчики ищут способы контролировать агентов, которым для работы нужен доступ к внешним данным и инструментам и которые могут сделать что-то непредусмотренное, даже не выходя из песочницы.

«Агентов будут внедрять массово, только если им можно будет массово доверять», - заявил Террелл Кокс, корпоративный вице-президент и заместитель директора по информационной безопасности направления Customer Security в Microsoft.

Главное ограничение анонса: все свойства новых функций известны только из заявлений и документации Microsoft. Компания не привела данных о реальных предотвращённых инцидентах, не раскрыла точность, долю ложных срабатываний и задержки и не сравнила свои инструменты с конкурентами. Независимых испытаний и отзывов пользователей пока нет.