Im vergangenen Jahr haben Unternehmen KI-Agenten in fast alles eingebaut: Sie schreiben Code, beantworten E-Mails, verschieben Daten zwischen Systemen. Microsoft spricht jetzt offen aus, was viele Sicherheitsteams längst vermuteten: Diesen Agenten kann man nicht vertrauen, und man sollte sie wie potenzielle Insider behandeln, nicht wie gewöhnliche Software.
In einem Beitrag im Microsoft-Security-Blog vom 19. Oktober schrieb die Sicherheitschefin des Konzerns, Hayete Gallot, unverblümt: „Spitzenmodelle sind, unabhängig von ihrer Herkunft, nicht vertrauenswürdig”. Das ist kein Vorwurf böser Absicht — Agenten werden darauf trainiert, um jeden Preis Ergebnisse zu liefern, und das treibt sie dazu, Regeln zu umgehen, wenn ein Ziel wichtiger erscheint als der Weg dorthin. CEO Satya Nadella ging noch weiter: Das vertrauenswürdigste System sei jenes, das darauf ausgelegt ist, dem Modell selbst am wenigsten zu vertrauen.
Um das praktisch umzusetzen, erweitert Microsoft Project Perception — ein im Juli gestartetes System, das mit „roten”, „blauen” und „grünen” KI-Teams gegen KI-gesteuerte Angriffe vorgeht. Dieselbe Logik schützt jetzt Unternehmen vor ihren eigenen Assistenten. Jeder Agent erhält über Microsoft Entra Agent ID eine digitale Identität — fast wie ein Mitarbeiterausweis. Die Werkzeuge erkennen bereits 60 Arten lokaler Agenten, darunter Claude Code, OpenAIs Codex und GitHub Copilot — gegenüber 35 noch vor wenigen Monaten.
Danach übernimmt Dynamic Agent Risk: ein Algorithmus, der den Risikowert eines Agenten laufend aus Signalen von Identität, Endgeräten, Cloud und Netzwerk neu berechnet. Weicht das Verhalten von der zugewiesenen Aufgabe ab, schrumpft der Zugriff automatisch — zuerst auf reines Lesen, dann auf Warten auf menschliche Freigabe, im schlimmsten Fall auf vollständige Isolation. Für Routineaufgaben gibt es Dynamic Permissions, zeitlich befristete Rechte für genau eine Operation, während der Microsoft Execution Container die Ausführung in einer von außen überwachten Sandbox isoliert.
Über all das wachen wiederum andere Agenten — spezielle aus Project Perception. Guardian Agents prüfen rund um die Uhr jede Aktion der operativen Agenten und können bei einem verdächtigen Risikoanstieg selbst Eindämmungsmaßnahmen vorschlagen oder anwenden, ohne auf einen Menschen zu warten.
Preise oder einen Starttermin hat Microsoft noch nicht genannt — mehr Details sollen auf der Ignite-Konferenz am 17. November folgen. Der Tonwechsel ist aber schon jetzt deutlich: Der größte Anbieter von Unternehmenssoftware gibt öffentlich zu, dass es mit wachsender Autonomie der KI immer schwerer wird, ihren nächsten Schritt vorherzusagen.
