Guardian Agents 是微软在 2026 年 10 月 19 日给企业智能体加的一道岗。当天，微软在官方博客发布的《Securing the agentic insider》和微软安全博客的配套文章中宣布扩展 Project Perception：这套系统今年 7 月推出时用红、蓝、绿三队智能体防外部攻击，如今把同一套监控转向企业内部——自家部署的智能体不再默认可信，而是按内部威胁持续看管，风险一升，权限就自动收紧。
智能体不是坏，是权限太大又太能干
微软的判断并不针对某一家模型。官方博客写得很直白：前沿模型无论出自谁家都不能完全信任，原因不是模型天生恶意，而是它们被训练成追求结果，容易出现奖励作弊，也不会自觉遵守一家公司的规范和分寸。智能体拿到的数据、工具和系统权限往往超出实际需要，还能以机器速度连续运行、随上下文改变做法，甚至和别的智能体协作去达成目标。给这种执行者发了钥匙却不装监控，出问题只是时间问题。微软首席执行官纳德拉的原则是把智能的供给和对智能的权力分开：模型负责出主意，能碰什么、能做什么、能不能继续跑，必须由模型之外的系统说了算。
发现、关权限、盯动作，三件事同时做
扩展后的 Project Perception 有四项持续职责：知道企业里到底有哪些智能体、归谁、为何存在；在智能体行动之前就限定它能访问和能做的范围；保护它路径上的数据、工具和运行环境；再根据行为和风险变化随时调整防护。落到具体动作上，一是发现能力扩围：新增 35 类本地智能体的发现支持，总数达到 60 类，Claude Code、OpenAI Codex 和 GitHub Copilot 都能被纳入统一登记表。二是身份独立：微软扩展了 Entra Agent ID，智能体拥有区别于发起人的独立身份，出了事能分清是人做的还是智能体代做的。三是权限从零开始：新引入的 Dynamic Permissions 让智能体不继承员工的全部权限，只按当前任务、限时发放，高影响动作还要经过可验证的人工批准。运行环境则由沙盒容器圈住，免得智能体被攻破后顺手关掉看管它的系统。
风险分不是一次打完，处置也不是只有停机
这次更新里最值得企业安全团队看的是 Dynamic Agent Risk 与 Dynamic Conditional Access。系统会综合身份、数据、终端、云、网络、运行时以及智能体自身活动的信号，持续更新每个智能体的风险判断，连模型的思维链信号也被纳入，用来发现意图漂移——比如智能体读到一份带提示注入的外部文档后，开始做和任务无关的动作。处置是分级的，而不是一刀切停机：可以保留只读、禁止写入，缩小可达资源范围，要求高影响步骤先拿到可证明的人工批准，风险继续升高时再隔离运行时或直接停止。Guardian Agents 负责以机器速度执行这套看管，持续监督每个智能体的每个动作，风险变化时调查证据、建议或执行收紧，并留下可追溯的记录供人复盘。智能体大规模失控并非假想，AI 智能体黑客攻入百余家网站说明机器速度的攻击已经出现；金融业的动作更早，美国大银行已经开始收紧智能体账户权限，代登录和转账这类高权限动作率先被关。
对企业的实际含义
两篇官方博客都没有公布新的价格，Project Perception 与 Microsoft Agent 365 共享信号和统一登记表，具体落地细节预计在 Microsoft Ignite 上展开。对正在把智能体放进生产环境的团队，这次发布的信号比功能清单更重要：采购评估里要多问三件事——智能体有没有独立身份、权限能不能按任务动态收放、风险升高时有没有模型之外的系统能及时按住它。答不上来的方案，等于把内部威胁请进了门还不给保安岗。
