微软推Guardian Agents：把AI代理当内鬼，称前沿模型不可信

微软周一公布一批面向企业的AI代理安全功能，核心是名为Guardian Agents的监控组件，专门盯着企业内部运行的各类代理。这套能力隶属6月推出的Project Perception产品线，微软同时把“代理就是内鬼”的判断摆上了台面。

微软安全业务负责人Hayete Gallot在发布时的措辞没留余地：无论出自哪家厂商，前沿模型都不可信。她给的理由不是模型有恶意或容易被攻破，而是不可预测——它们被训练来完成具体任务，并不遵守组织的规范与判断。

更棘手的是权限。这些代理常被直接交到“王国钥匙”，既能触及敏感数据，也能调用足以造成实际损害的工具。在企业安全语境里，这种角色有个老词：内部威胁。

Project Perception在6月上线时，思路完全不同。它把代理分成三支队伍：红队扮演攻击者，蓝队负责发现并评估漏洞，绿队负责修补。整套产品默认AI黑客来自公司外部。

微软CEO萨提亚·纳德拉近来的表态，转向了这个假设的反面：真正的AI敌人，可能就是企业自己部署、自己付钱的那些代理。本月初他在个人博客中写道，企业不该再无条件信任模型供应商的安全承诺，即便对方给出保证。

他主张企业另建一套不受AI实验室控制的系统，去监控和约束这些实验室产品启动的代理。“我们不能把‘智能替我们做了什么’的责任外包出去，”他写道，“模型供应商的保证不能替我们减责。”他把话说得更短：智能的供给，和对智能的授权，必须分开。

这套逻辑站得住，但推出它的公司位置微妙。微软与OpenAI、Anthropic都关系紧密，对两家均有投资，OpenAI还是它最大的云客户之一；微软自己也设有研发模型的AI实验室。公开质疑合作方的模型可靠性，等于给自己的生意添堵。

另一面则相当务实：微软希望企业从它这个云厂商手里买代理安全产品，而不是从模型供应商那里买。审计机构必须独立于被审计对象，同理，监控代理行为的软件也该独立于代理的卖家。

除Guardian Agents外，微软Defender新增了代理发现能力，可识别员工带进办公环境的多达60种代理，包括Claude Code、Codex与OpenClaw；还能限制代理访问数据与系统，按任务动态调整权限，一旦判断代理正在做高风险决策，就要求人工批准。

看到“60种”这个数字，我想起念书时学校机房那排机器。U盘一插，谁都想装点小东西，打字练习的皮肤、莫名其妙的加速器，管理员前脚走，屏幕右下角后脚就多出几个陌生图标。那台机子装的杀毒软件全盘扫描慢得离谱，绿条一格一格爬，我趴在桌边等，心里又慌又盼：最好什么都扫不出来，又隐隐希望它真抓出点什么，好知道到底是谁往机子里塞了东西。要是当年就有个独立于软件厂商的东西，替我们盯着那些偷偷溜进来的程序，大概能少重装好几回系统。

英伟达牵头成立的Open Agent Safety Platform，微软是首批成员，另外有上百家科技企业加入。该平台把代理隔离在安全环境中，通过硬件层面监控并中止其行为，功能上接近一个物理开关。

微软此前发布的Surface Laptop Ultra同样打着“为代理而生”的旗号，采用英伟达芯片，把代理安全与控制能力做进设备。云端、终端、芯片层同时下手，说明防守思路已从“拦外部入侵”扩展到“约束内部授权”。

企业采购的现实是，代理往往是员工先用起来、IT部门后知后觉才发现。影子AI和当年的影子IT一样，从聊天窗口、代码补全插件一路长到能读内部文档、能提交工单的自动化流程。权限一旦发出去，收回的成本远高于当初发放。

责任归属是更难的一题。代理误删数据、误发邮件、误调接口，损失算谁的？模型厂商说自己只提供模型，云厂商说自己只提供运行环境，最后多半落在签字采购的企业头上。微软把“智能”和“授权”拆成两件事，实质是把审计责任推回企业，这也正是它的卖点。

国内企业的情况还要复杂一层：不少团队同时接入多家国内外模型服务，代理工具来源更杂，统一纳管本身就不容易。安全预算有限时，先买监控还是先买模型，是道现实的选择题。

微软这步棋的商业动机不难看穿，但它提出的问题真实存在：当代理被赋予越来越大的权限，谁能替企业按下那个开关。答案如果只能由卖代理的厂商自己给出，这道题从一开始就不成立。