简介
微软安全业务负责人Hayete Gallot说了一句在业内引起不小反响的话："前沿模型，无论来自哪里，都不能被信任。"
言下之意很明确：企业需要提防的已经不只是外部攻击者。为此微软在 Project Perception 中加入 Guardian Agents 来监控企业内部自主运行的职场智能体，同时 Microsoft Defender 扩展了对最多60类职场智能体的检测能力。这套做法把内部部署的AI智能体，当成通常只用于"内部威胁"的对象来审视。
核心变化：威胁模型换了对象
传统企业安全的边界是"内 vs 外"：防火墙挡住外部，内部员工基本信任，靠DLP和审计做兜底。AI智能体把这个模型打穿了，原因有三个：
- 它拥有真实权限：智能体要干活，就得拿到文件、邮件、业务系统的访问权限。它坐的位置，恰恰是过去"可信内部人员"的位置。
- 它能被外部内容操纵：一封邮件、一个网页、一份文档里的隐藏指令，就可能改写智能体的行为——这就是提示注入。同期被广泛讨论的代码安全扫描与Agent Vault类产品，都在处理同一个问题。
- 它的行为不确定：同样的输入可能产生不同的动作路径，传统基于规则的审计抓不住"意图偏移"。
Guardian Agents 在做什么
从公开信息看，它是一层监控型智能体：专门盯着其他智能体在做什么，识别异常行为模式。这其实是"以AI防AI"的思路——用模型去观察模型，因为人类审核员既看不懂智能体的动作序列，也跟不上它的执行速度。
Defender一侧的扩展则是把智能体纳入既有安全运营流程：60类智能体的检测意味着安全团队可以在现有的告警面板、事件响应流程里处理"智能体异常"，而不必另建一套体系。对企业来说，能接进现有SOC比功能多不多更重要。
详细分析：为什么"不能信任前沿模型"是正确表述
这句话容易被误读成"微软不信任竞争对手的模型"。实际上它指向的是一个架构原则：任何足够强大的模型，其行为都无法被完全预测或约束，因此不能把安全边界建立在"模型会守规矩"这个假设上。
这解释了为什么整个行业在同一个方向上收敛——不论是Anthropic的auto模式分类器、Meta的Sentinel组件、Self Labs的Agent Vault，还是英伟达GTC柏林发布的OpenShell安全智能体参考架构（开源运行环境+内核级沙箱+策略控制），方案的核心都是：
- 把权限关进沙箱，按任务动态调整，而不是一次性授予全权限。
- 把凭证隔离在智能体上下文之外，用代理令牌代替真实密码。
- 让敏感动作必须经过人类批准，且批准记录可审计。
- 监测行为而非只看结果，因为结果看起来对，过程可能已经跑偏。
对企业落地的建议
- 先盘点再治理：把公司里在跑的智能体列出来——包括员工私自接入的第三方Agent、Copilot类工具、内部自研的自动化脚本。你不知道的智能体就是最大的风险。
- 按最小权限重构：现在很多智能体是"为了跑通"给了管理员权限。按任务授予、用完即回收。
- 建立"智能体必须有监护人"的制度：每个智能体配一个业务负责人，负责权限审批与异常处置。这和"每个系统要有owner"是同一个道理。
- 把提示注入当作常规攻击来测：用红队方式测试外部内容能否改写智能体行为，特别是能读邮件、能浏览网页的智能体。
- 日志要能回答"它为什么这么做"：不只是记录动作，还要记录触发动因（读了哪封邮件、哪条指令）。
需要注意的边界
- 这套方案目前主要面向微软生态内的企业客户，跨云、跨SaaS的智能体未必都能覆盖。
- "最多60类职场智能体"是一个会持续变化的数字，具体覆盖清单需要向微软确认。
- Guardian Agents本身也是一个模型驱动的系统，它自己也需要被监控——这不是递归玩笑，而是安全架构的真实要求。
总结
"AI智能体是内鬼"这个框架，比"AI会犯错"更有操作性：它把抽象的AI安全风险，翻译成了企业安全团队已经熟悉的语言——权限、审计、最小信任。这也提示我们：个人智能体的入口之争最终能不能赢，取决于用户能不能真正信任它。