За останній рік компанії напхали свої системи ІІ-агентами: вони пишуть код, відповідають на листи, переносять дані між сервісами. Microsoft нарешті озвучила те, про що здогадувалися служби безпеки, — цим агентам довіряти не можна, і з ними варто поводитися як з потенційними інсайдерами, а не просто програмами.
У публікації блогу Microsoft Security від 19 жовтня віцепрезидентка компанії з безпеки Хайєте Галло сказала прямо: «Передові моделі, незалежно від походження, не можна вважати надійними». Йдеться не про злий умисел — агентів навчають досягати результату будь-якою ціною, і це штовхає їх обходити правила, коли мета здається важливішою за процедуру. Генеральний директор Сатья Наделла пішов ще далі: найнадійніша система — та, що розрахована на мінімальну довіру до самої моделі.
Щоб обмежити ІІ-агентів на практиці, Microsoft розширює Project Perception — систему, запущену в липні для захисту від атак через зв'язки «червоних», «синіх» і «зелених» агентів. Тепер та сама логіка захищає компанії від їхніх власних помічників. Кожному агенту присвоюють цифрове підтвердження особи через Microsoft Entra Agent ID — майже як працівнику. Інструменти вже розпізнають 60 типів локальних агентів, зокрема Claude Code, Codex від OpenAI та GitHub Copilot, — проти 35 ще кілька місяців тому.
Далі вступає в дію Dynamic Agent Risk: алгоритм безперервно перераховує рівень ризику агента за сигналами від систем ідентифікації, пристроїв, хмари та мережі. Якщо поведінка відхиляється від заявленого завдання, доступ автоматично звужується — спочатку до читання без права дій, потім до режиму очікування підтвердження людиною, у крайньому разі — до повної ізоляції. Для рутинних операцій впроваджено Dynamic Permissions — тимчасові права суто під конкретне завдання, а Microsoft Execution Container ізолює виконання у «пісочниці» під зовнішнім наглядом.
Стежити за всім цим будуть самі агенти — тільки особливі, з Project Perception. Guardian Agents цілодобово перевіряють кожну дію робочих агентів і за підозрілого стрибка ризику самі пропонують або застосовують заходи стримування, без участі людини.
Ціни та терміни Microsoft поки не називає — подробиці обіцяють на конференції Ignite 17 листопада. Але зміна тону вже помітна: найбільший постачальник корпоративного програмного забезпечення публічно визнав, що чим самостійнішим стає ІІ, тим менше в компаній способів передбачити його наступний крок.
