Microsoft begrenser AI-agenters tilgang gradvis etter hvert som risikoscoren stiger
Microsoft lanserer sikkerhetskontroller som kontinuerlig scorer AI-agenters risiko fra identitets-, endepunkt-, sky- og nettverkssignaler — og som trinnvis reduserer hva agentene får lov til å gjøre, helt frem til isolasjon. Annonseringen kommer ni dager etter at Satya Nadella har bedt bedrifter behandle modeller som intern risiko, men pris og tilgjengelighet gjenstår ikke-annonsert før Microsoft Ignite 17. november.
Hva som ble annonsert
Den 19. oktober 2026 introduserte Microsoft en rekke sikkerhetskontroller for det selskapet kaller «den agentiske insideren» — AI-agenter som allerede er i drift i bedrifter, men som er overprivilegerte og uforutsigbare. Kjernen i tilbudet er at kontrollene ikke prøver å gjøre modellen mer pålitelig, men omgir den med ytre sikkerhetstiltak som strammer inn hva en agent faktisk kan utføre etter hvert som vurdert risiko stiger, skriver SiliconANGLE (f2a780f1).
Kontrollene er posisjonert som en del av Project Perception, Microsofts agentiske sikkerhetssystem lansert i juli i år, og av Microsoft 365 E7 — selskapets toppnivåpakke med kontorprogramvare og AI-verktøy, som også inkluderer Agent 365 sammen med Microsoft 365 Copilot (de988716, f2a780f1). Project Perception ble opprinnelig bygget for å forsvare mot ytre AI-angrep; nå rettes det altså også mot risikoene fra innsiden (63e06906).
Hvorfor: «den agentiske insideren»
Tankegrunnlaget ble lagt i et essay av Microsoft-sjef Satya Nadella 10. oktober, der han oppfordret bedrifter til å behandle modeller som intern risiko, med sikkerhetstiltak holdt utenfor modellen selv. Det mest pålitelige systemet, skrev han, vil være «det som gjør at vi kan stole minst på modellen» (f2a780f1).
I den etterfølgende bloggposten 19. oktober tok selskapet opp bildet av agenten som insider. Ifølge SiliconANGLE var det Hayete Gallot, visepresident i Microsoft Security, som innførte «den agentiske insideren»-begrepet i et blogginnlegg (f2a780f1). En annen rapport, syndikert via MSN, tilskriver imidlertid bloggposten Nadim Abdo, visepresident for identitet og nettverkstilgang i Microsoft (65bb904e). Denne motsetningen i kildegrunnlaget kan ikke løses på grunnlag av det foreliggende grunnlaget, men innholdet i budskapet gjengis konsekvent: Agentene er ikke onde av natur, men urettferdig utstyrt og uforutsigbare.
«Dette er ikke fordi modeller er iboende ondsinnede», het det i bloggposten, som videre forklarer: «Agenter er uforutsigbare. De vil tilpasse seg etter hvert som konteksten endres, kan oppføre seg annerledes enn intensjonene, og vil samarbeide og konspirere med andre agenter for å nå målene sine uten å måtte bli kompromittert» (63e06906).
Poenget om kollusjon er verdt å merke seg: Microsofts trusselbilde er ikke primært en agent som har blitt hacket, men agenter som på egen hånd finner utilsiktede veier til målene sine.
Hvordan mekanismen fungerer
Pakken består av fire deler som bygger på hverandre.
Oppdagelse og identitet. Først må agentene finnes. Microsofts oppdagelsesverktøy kan nå identifisere 60 typer lokale agenter på ansattes maskiner, etter at 35 nye ble lagt til. Listen inkluderer Claude Code fra Anthropic, Codex fra OpenAI og GitHub Copilot fra Microsofts eget GitHub (f2a780f1). Microsoft Entra Agent ID gir oppdagede agenter — og ukjente agenter som sensorer finner — egne identiteter, slik at de kan administreres som egne aktører i stedet for å skjule seg bak brukerens konto (f2a780f1).
Risikoscoring. Hver agent får en kontinuerlig oppdatert risikoscore under funksjonen Microsoft kaller Dynamic Agent Risk. Scoren trekker på signaler fra selskapets identitets-, endepunkt-, sky- og nettverksverktøy, og stiger når en agents oppførsel driver bort fra det brukeren eller organisasjonen hadde til hensikt (f2a780f1). Selskapet planlegger i tillegg å føre chain-of-thought og andre modellnivå-signaler inn i scoren (f2a780f1).
Trinnvis respons. Når risikoen stiger, kan policy respondere i grader: redusere tillatelser, tillate lesing men blokkere skriving, begrense hvilke ressurser agenten kan nå, kreve menneskelig godkjenning — eller isolere agenten og stanse den (65bb904e).
Begrensede tillatelser og sandkasse. Under Dynamic Permissions blir agentenes tilgang midlertidig og avgrenset til én oppgave, innen selskapsomfattende grenser som hindrer en agent i å holde mer myndighet enn mennesket den arbeider for (f2a780f1). Microsoft Execution Container sandkasser agentene, slik at en kompromittert agent ikke kan slå av overvåkningen av seg selv (f2a780f1).
Abdo illustrerte ifølge den syndikerte rapporten prinsippet med en agent for utgiftsgodkjenning: Den kan lese innleveringer, sjekke policy og godkjenne rutineutbetalinger, men arver ikke hele den ansettelsesbaserte tilgangen til den ansatte som «sponsorer» den. En prompt-injeksjon eller en urelatert handling hever agentens risikoscore og utløser de trinnvise innsnevringene (65bb904e).
Guardian Agents: sikkerhet utført av agenter
Project Perception får også nye verktøy. Playbooks lar sikkerhetspersonell sette ønsket utfall, og en ny gruppe «Guardian Agents» utfører arbeidet: En endring i en agents risikoscore setter Guardian Agents i gang med å undersøke, og de kan enten anbefale innesperring eller anvende den på egen hånd. Menneskene beholder kontrollen over policy og godkjenningsregler (f2a780f1).
Det er verdt å merke seg at Microsoft altså bruker agenter til å kontrollere agenter — et designvalg som flytter spørsmålet om pålitelighet ett nivå opp, i stedet for å fjerne det. Gallot skriver ifølge SiliconANGLE at «modellgjennomsiktighet vil ikke erstatte innesperring», noe som antyder at selskapet selv ser det autonome sjiktet som et supplement, ikke en erstatning, for de harde kontrollene.
Bedriftenes ambisjoner og hvem som dekkes
Terrell Cox, visepresident og nestledende sikkerhetssjef for kundesikkerhet i Microsoft, sa ifølge rapporten at selskapet allerede opererer med «hundretusenvis av agenter» som «Customer Zero», og at denne erfaringen har informert verktøyene (65bb904e). Det er en virksomhetsbeskrivelse som stammer fra Microsoft selv og ikke er uavhengig verifisert.
Dekningen av tredjepartsagenter er derimot konkret: Med Claude Code, Codex og GitHub Copilot på oppdagelseslisten søker Microsoft å dekke agentene ansatte faktisk installerer på egne maskiner — ikke bare Microsofts egne produkter. Det gjør rammeverket relevant også for bedrifter som bygger på konkurrierende plattformer.
Det vi ikke vet
Flere ting gjenstår å avklare. Microsoft ga ingen datoer for tilgjengelighet og ingen prising for de nye kontrollene, og peker kundene mot Microsoft Ignite, som åpner 17. november, for mer detaljer (f2a780f1). Det betyr at mange praktiske spørsmål — hvilke E7-nivåer som inkluderer hvilke funksjoner, hvordan risikoscorene faktisk beregnes, og hvor mye menneskelig godkjenning som kreves for de mest inngripende tiltakene — fortsatt er åpne.
I tillegg er det verdt å holde en grunnleggende usikkerhet i minnet: Alle detaljene i historien stammer fra Microsofts bloggpost og Nadellas essay, slik de er gjengitt i sekundær dekning — ikke fra de primære dokumentene. Effektiviteten av autonom innesperring utført av Guardian Agents er et selskapsutsagn, ikke et dokumentert resultat. Frem til Ignite, og i praksis frem til kundene begynner å bruke systemene i produksjon, er det derfor for tidlig å bedømme om kontrollene fungerer slik de er beskrevet.