Microsoft расширила Project Perception: платформа теперь обнаруживает ИИ-агентов в инфраструктуре, выдаёт каждому отдельную цифровую личность и при подозрительном поведении способна отозвать доступ или остановить среду выполнения. Для компаний, которые уже пускают агентов к коду, документам и внутренним системам, безопасность ИИ-агентов перестаёт быть задачей «на потом»: агент с правами сотрудника — это новый инсайдер, только он ещё и читает инструкции из приложенных файлов.
О новых возможностях Project Perception сообщает Dark Reading. Microsoft называет угрозу «агентным инсайдером»: модель может ошибиться, попасть под prompt injection или выполнить действие, которого пользователь не заказывал. В обновлении за такими системами следят Guardian Agents — отдельные агенты-контролёры, отслеживающие поведение рабочих ИИ-помощников и ограничивающие их при отклонении от ожидаемой задачи.
Ключевая идея Microsoft — отделить учётную запись человека от идентичности агента. Во многих нынешних сценариях агент действует от имени пользователя или использует его учётные данные. В новой схеме он начинает без разрешений и получает только те права, которые нужны для конкретной операции. Корпоративный вице-президент Microsoft по управлению идентификацией и сетевым доступом Надим Абдо объяснил, что права должны повышаться по мере необходимости, а не выдаваться агенту вместе с полномочиями его владельца.
В качестве показательного сценария Microsoft приводит агента для согласования расходов. Он может прочитать в отчёте скрытую вредоносную инструкцию и попытаться запустить банковский перевод. Если система видит, что доступ к платёжному сервису не связан с исходным запросом, риск агента растёт. После этого защита может заблокировать запись, сузить сетевой доступ, отозвать разрешения или завершить исполнение агента. Microsoft утверждает, что это можно сделать без остановки работы самого пользователя, однако функции пока находятся в предварительной версии — обещания ещё должны пройти проверку в реальных SOC.
Для оценки используется Dynamic Agent Risk — единый риск-скор, который собирает сигналы из Entra, Defender, Intune, Purview, Sentinel и сервиса Global Secure Access. Одновременно Microsoft расширила обнаружение локально работающих агентов: система видит ещё 35 типов, всего заявлено 60, включая Claude Code, OpenAI Codex и GitHub Copilot. Для агентов, которые изначально не умеют работать с Entra, предусмотрено расширение Entra Agent ID. А Microsoft Execution Container изолирует рабочую среду так, чтобы агент не мог напрямую добраться до учётных данных и защитных механизмов.
Project Perception впервые появился в публичном предварительном доступе через Microsoft Defender в августе. Тогда проект был сфокусирован на защите от атак с применением ИИ: «красные» агенты ищут пути атаки, «синие» ранжируют риски, «зелёные» помогают устранять угрозы. Первым практическим направлением стал поиск уязвимостей с помощью MDASH — ИИ-сканера кода Microsoft, использующего в том числе MAI-Cyber-1-Flash, специализированную кибербезопасностную модель компании. Новое обновление меняет оптику: теперь под наблюдением оказываются не только злоумышленники, но и собственные корпоративные агенты.
Рынок движется в ту же сторону, но спорит о границах платформенного подхода. Okta развивает Agent Gateway, отделяющий разрешения агента от прав пользователя, и планирует механизм отключения уже выданных токенов. Teleport, поддерживаемый Cisco, привязывает привилегии к задаче, чтобы они исчезали после её завершения. CrowdStrike представила Agentic Identity Provider и Falcon Guardian для обнаружения и контроля агентов на устройствах Windows, macOS и Linux. Microsoft отвечает на это аргументом «единого стека»: идентичность, конечные точки, сеть, данные и журналирование видны из одной экосистемы, а не через набор разрозненных консолей.
Для разработчиков здесь практический вывод довольно приземлённый: агенту нельзя автоматически передавать токены CI/CD, доступ к продакшену, файловым шарам и финансовым системам только потому, что их имеет инженер, запустивший задачу. Нужны отдельная идентичность, минимальные права, короткий срок действия разрешений и журнал действий. Для бизнеса безопасность ИИ-агентов становится частью IAM и управления привилегированным доступом, а не факультативной настройкой в интерфейсе чат-бота.
При этом Microsoft признаёт главную проблему: модели непредсказуемы, а значит, контролировать их придётся тоже автоматикой. Гендиректор Сатья Наделла на встрече с CISO в Редмонде сказал, что Project Perception и Agent 365 ещё предстоит «закалить в бою», а поведенческий мониторинг Defender нужно заметно усилить. Вопрос теперь не в том, появятся ли агенты в корпоративной сети, а в том, смогут ли защитные агенты отличить полезную автономность от опасной самодеятельности раньше, чем она доберётся до продакшена. Подробнее о заявленных механизмах — в материале .
