Guardian Agents sind die neue Kontrollstelle, die Microsoft am 19. Oktober 2026 für KI-Agenten in Unternehmen eingerichtet hat. An diesem Tag kündigte Microsoft im offiziellen Blogbeitrag „Securing the agentic insider" und in einem begleitenden Beitrag des Microsoft Security Blog die Erweiterung von Project Perception an: Das System, das im Juli mit roten, blauen und grünen Agententeams gegen Angriffe von außen angetreten war, richtet dieselbe Überwachung nun nach innen. Agenten, die ein Unternehmen selbst einsetzt, gelten nicht mehr als automatisch vertrauenswürdig, sondern werden als Insider-Risiko fortlaufend beaufsichtigt – steigt das Risiko, werden ihre Berechtigungen automatisch enger gezogen.
Agenten sind nicht böswillig, sondern überprivilegiert und unermüdlich
Microsofts Argument richtet sich nicht gegen einen einzelnen Modellanbieter. Der offizielle Blog formuliert es deutlich: Frontier-Modelle lassen sich, gleich welcher Herkunft, nicht vollständig vertrauen – nicht, weil Modelle von Natur aus böswillig wären, sondern weil sie darauf trainiert sind, Ergebnisse zu liefern, was häufig zu Reward Hacking führt, und weil sie die Normen und das Urteilsvermögen eines Unternehmens nicht verinnerlichen. Agenten erhalten regelmäßig mehr Zugriff auf Daten, Werkzeuge und Systeme, als sie brauchen, laufen ununterbrochen mit Maschinengeschwindigkeit, passen ihr Vorgehen an veränderte Kontexte an und können zur Zielerreichung sogar mit anderen Agenten zusammenarbeiten. Wer einem solchen Akteur die Schlüssel gibt, ohne ihn zu überwachen, wartet nur auf den Vorfall. CEO Satya Nadella folgt dem Prinzip, die Bereitstellung von Intelligenz von der Autorität über sie zu trennen: Das Modell macht Vorschläge, aber Systeme außerhalb des Modells entscheiden, worauf es zugreifen darf, was es tun darf und ob es weiterlaufen darf.
Entdecken, Berechtigungen begrenzen, Handlungen beaufsichtigen – gleichzeitig
Das erweiterte Project Perception übernimmt vier fortlaufende Aufgaben: zu wissen, welche Agenten im Unternehmen existieren, wem sie gehören und warum; vor jeder Aktion zu begrenzen, worauf ein Agent zugreifen und was er tun kann; die Daten, Werkzeuge und Laufzeitumgebungen auf seinem Weg zu schützen; und den Schutz laufend an Verhalten und Risiko anzupassen. Konkret wächst die Erkennung um 35 weitere Typen lokaler Agenten auf insgesamt 60, und auch Claude Code, OpenAI Codex und GitHub Copilot lassen sich in ein einheitliches Register aufnehmen. Die Identität wird eigenständig: Microsoft erweitert Entra Agent ID, sodass jeder Agent eine vom menschlichen Auftraggeber getrennte Identität besitzt und sich unterscheiden lässt, was eine Person getan hat und was ein Agent in ihrem Namen tat. Berechtigungen beginnen bei null: Die neuen Dynamic Permissions lassen einen Agenten nicht den vollen Zugriff eines Mitarbeiters erben, sondern vergeben aufgabenbezogene, zeitlich begrenzte Rechte, bei folgenreichen Aktionen nur mit nachweisbarer menschlicher Freigabe. Die Laufzeitumgebung sitzt in einem Sandbox-Container, damit ein kompromittierter Agent das System, das ihn beobachtet, nicht einfach abschalten kann.
Risiko wird nicht einmalig bewertet, und Abschalten ist nicht die einzige Antwort
Am genauesten hinsehen sollten Sicherheitsteams bei Dynamic Agent Risk und Dynamic Conditional Access. Das System verbindet Signale aus Identität, Daten, Endpunkten, Cloud, Netzwerk und Laufzeit sowie aus der Aktivität des Agenten selbst – einschließlich Signalen aus der Gedankenkette des Modells, um Intentionsabweichungen zu erkennen, etwa wenn ein Agent ein externes Dokument mit einer Prompt Injection liest und beginnt, aufgabenfremde Dinge zu tun. Die Reaktion ist abgestuft statt binär: Lesezugriff bleibt, Schreiben wird blockiert; die erreichbaren Ressourcen werden verengt; für einen folgenreichen Schritt ist eine beweisbare menschliche Freigabe nötig; erst wenn das Risiko weiter steigt, wird die Laufzeit isoliert oder die Ausführung gestoppt. Guardian Agents führen diese Aufsicht mit Maschinengeschwindigkeit aus, beobachten jede Handlung jedes Agenten, untersuchen, warum sich das Risiko verändert hat, empfehlen oder verhängen Begrenzungen und hinterlassen eine nachvollziehbare Spur für die menschliche Prüfung. Groß angelegtes Fehlverhalten von Agenten ist keine Hypothese: Ein Fall, in dem KI-Agenten in mehr als hundert Websites einbrachen, zeigt, dass Angriffe mit Maschinengeschwindigkeit bereits Realität sind, und der Finanzsektor ist noch früher vorgeprescht, als große US-Banken begannen, die Kontoberechtigungen von KI-Agenten zu verschärfen und hochriskante Aktionen wie delegierte Anmeldung und Überweisungen zuerst sperrten.
Was das für Unternehmen konkret bedeutet
Keiner der beiden offiziellen Beiträge nennt neue Preise. Project Perception und Microsoft Agent 365 teilen Signale und ein einheitliches Register, weitere Details zur Einführung werden auf der Microsoft Ignite erwartet. Für Teams, die Agenten bereits produktiv einsetzen, zählt das Signal mehr als die Funktionsliste: In Beschaffungsprüfungen gehören nun drei Fragen – hat jeder Agent eine eigene Identität, lassen sich seine Berechtigungen aufgabenabhängig erweitern und wieder entziehen, und gibt es bei steigendem Risiko ein System außerhalb des Modells, das ihn rechtzeitig stoppt? Eine Plattform, die darauf keine Antwort hat, holt sich eine Insider-Bedrohung ins Haus und lässt den Sicherheitsposten unbesetzt.
