微软推出 Guardian Agents：把 AI 智能体当作“内鬼”来防的企业安全新范式

10 月 19 日，微软在 Project Perception 安全体系下推出 Guardian Agents，专门监控企业自己部署的 AI 智能体；CEO 纳德拉更直言“前沿模型无论来源都不可信任”，主张把“智能的供给”与“智能的授权”分离。这标志着企业安全正从防外部黑客，转向防“自己请来的 AI 员工”。

新闻原文

10 月 19 日（周一），微软发布一系列面向企业的新安全能力，核心是把 AI 智能体本身视作需要防范的对象。其中最引人注目的是 Guardian Agents——一套专门用来“监视”企业内部正在运行的各类 AI 智能体的功能，隶属于今年 6 月推出的 Project Perception 安全产品线。

Project Perception 最初是微软针对“AI 黑客”的回应：它内置红队（模拟攻击）、蓝队（检测与评估漏洞）、绿队（修复）三类智能体，假设威胁来自公司外部。但近来微软 CEO 萨提亚·纳德拉反复警告，真正的敌人可能就是企业自己花钱部署、付费使用的那些智能体——它们像一名行为失控的内部员工，也就是所谓“内鬼威胁”（insider threat）。

在本月的一篇私人博客里，纳德拉写道，是时候停止信任 AI 模型厂商了，哪怕对方拍胸脯保证安全。他主张企业必须部署一套“不被 AI 实验室控制”的独立系统，来监视和约束这些智能体所发起的行为。“我们正把这些复杂的智能体系统接入最敏感的数据，并赋予它们代表我们采取关键行动的能力，”他写道，“我们绝不能把智能所做事的责任外包出去。”换句话说，要“把智能的供给与对它的授权分离开”。

在发布 Guardian Agents 时，微软安全业务负责人 Hayete Gallot 说得更直白：“不幸的是，前沿模型无论出身如何，都不可信任。”她强调这不是因为它们恶意或易被攻破，而是因为它们“不可预测”——它们被训练去完成任务，而不是去遵循“组织规范与判断”。更危险的是，它们往往被交予了“王国的钥匙”，能访问可能造成严重危害的数据与工具。

除了 Guardian Agents，微软还在 Microsoft Defender 中新增了智能体检测能力，可识别出员工带入职场的至多 60 类智能体（包括 Claude Code、Codex、OpenClaw 等），并能限制智能体对数据与系统的访问、根据任务动态调整其权限，在智能体疑似做出高风险决策时强制要求人工审批。

企服观察

Guardian Agents 之所以在本周炸开舆论，是因为它第一次把“AI 智能体会背叛你”这件事，从科幻台词变成了采购清单。过去企业谈 AI 安全，重心都在防外部攻击；现在微软说，你花大价钱请来的那个智能体，可能才是最大的内鬼。

纳德拉那句“把智能的供给与对它的授权分离”，值得所有 CIO 抄在笔记本扉页。它的潜台词是：模型厂商卖的是“聪明”，但“聪明”不等于“可靠”；企业真正要掌控的，是“这个聪明人能碰什么、不能碰什么”的开关。

这其实是一个审计独立性问题。微软的逻辑是——监管智能体行为的软件，必须独立于智能体的供应商，就像审计师不能由被审计的公司自己任命。把监控权交还给云厂商或独立安全商，反而比交给模型厂更可信。

但也要看清微软的算盘。它一边重金投资 OpenAI、Anthropic，一边又亲手给这两家贴上“不可全信”的标签，本质是给自己卖“智能体安全”产品铺路。利益冲突归利益冲突，逻辑本身却站得住脚。

对国内企服市场的启发很直接：当客户的智能体开始调用核心 ERP、审批流、数据库时，“谁能管好这些智能体”就会变成和“谁的模型强”同样重要的卖点。安全治理层，正在从配角升格为主角。

Defender 能识别 60 类智能体、并动态调整权限这条，透露出一个信号：未来的终端安全软件，核心能力之一是“给每一个 AI 员工做入职审查与权限管控”，而非只防病毒木马。

强制人工审批高风险动作，是这套方案里最务实的一笔。智能体最怕的不是慢，而是“做错且无人拦得住”；把危险操作挂上急停，安全团队才第一次有了放行的理由。

更宏观地看，“智能体即内鬼”正在成为行业共识。英伟达牵头、百余家公司支持的 Open Agent Safety Platform，用硬件级隔离给智能体装上“熔断开关”，方向与此完全一致——把不可预测性关进笼子。

不过，企业也别被恐惧营销带节奏。Guardian Agents 目前仍是预览，真实拦截率、误报率、对第三方智能体的覆盖深度都还需验证；把“防内鬼”做成可持续的运营流程，远比买一个概念重要。

一个被低估的细节是“动态权限”：智能体的权限不该是一张静态白名单，而应随任务变化。查公开资料时给只读，改生产配置时收回或加审批——这种细粒度，才是智能体敢进核心系统的前提。

总体判断：Guardian Agents 不是一次功能堆砌，而是企业安全范式的一次转向——从“防外”到“防内”。当智能体普及到每个工位，安全软件的护城河，将不再是病毒库，而是“你敢不敢把钥匙交出去”的信任机制。