微软现在在卖一个不太舒服的判断：AI Agent 不该被当成贴心助手，而更像一个速度极快、随时可能越权的“内鬼”。微软推出的 Guardian Agents 属于 Project Perception 的一部分，用来监控企业正在使用的 Agent。微软安全业务负责人 Hayete Gallot 说得很直接：不管来自哪家厂商，前沿模型都不可信，因为它们不可预测。来源：https://techcrunch.com/2026/10/19/microsoft-says-ai-agents-are-like-insider-threats-as-frontier-models-cant-be-trusted/

关键事实

项目 内容
回答的问题 微软：AI Agent 更像内鬼，而不是贴心助手
简答 微软推出 Guardian Agents 和 Defender 的 Agent 检测能力，把企业内部使用的 AI Agent 当成潜在内鬼来管。对桌面 Agent 用户的启示很直接：把监控从模型厂商手里拿出来，限制权限，高风险动作要人工批准，并保留随时能切断的开关。
阅读时长 ~4 分钟
最后更新 2026-10-20

这不是说模型有恶意，而是在说激励和判断。模型被训练来完成目标，它没有被训练去尊重你的审批链、数据边界，或者“这件事值不值得花这么多钱”的常识。

微软到底发了什么

TechCrunch 报道说，最受关注的是 Guardian Agents。Project Perception 原本有三类 Agent：红队负责攻击，蓝队负责发现和评估，绿队负责修复。最初的设计假设攻击者来自外部；现在微软补上了另一种可能：危险 Agent 已经在内部，而且拿着公司给的凭据在跑。

微软还给 Defender 加了 Agent 检测能力，称能发现员工带入工作环境的 60 类 Agent，包括 Claude Code、Codex 和 OpenClaw。它同时增加了限制 Agent 访问数据和系统的功能，以及按任务动态调整权限的能力。如果 Agent 看起来在做高风险决定，系统可以要求人工批准。

商业动机很明显：微软既投资 OpenAI 和 Anthropic，也和它们竞争。卖一层独立监控，可以从企业对模型的不信任中获利。但这不意味着建议本身是错的。审计员不该由被审计公司雇佣，监控 Agent 的软件也不该只由制造 Agent 的厂商提供。

对桌面用户意味着什么

个人和小团队未必会买企业级 Agent 安全套件，但可以照搬同样的结构。

  • 把凭据和任务分开。 当前任务需要什么权限，就给什么权限，不要一把钥匙包打天下。
  • 不可逆动作必须有人工门。 删文件、花钱、改权限、发布内容，都应该重新确认，而不是一次“始终允许”后永久放行。
  • 记录动作，而不只是回答。 模型说了什么价值有限；它碰了哪个文件、执行了什么命令、调用了哪个 API、试图付哪笔钱，才是审计重点。
  • 盯外发流量和消费。 Agent 突然访问新端点或快速烧额度，往往是在损失完成前发出的信号。
  • 把急停开关放在 Agent 外面。 停止按钮不能依赖同一个进程、同一个账号或同一个厂商。

在 Windows 上尤其如此。桌面 Agent 可能同时接触文件系统、浏览器登录态、命令行和已安装应用。方便来自权限叠加，风险也来自权限叠加。一个实用默认值是：读可以宽，写要窄；写入当前项目目录之外时，必须人工确认。

微软替你做不了的部分

微软可以卖监控、检测和权限控制，但它决定不了你愿意暴露哪些数据、哪些动作可以恢复，以及你愿意用多少自主权换多少时间。这些是策略问题。

策略可以很短：密钥不要进提示词和日志；给 Agent 单独账号；优先应用级权限而不是整盘访问；花钱、删除、安装和发布必须审批；异常运行后回看审计记录；Agent 说不清自己在做什么时，先停机再看机器状态。

本地优先的工作流，至少应该让你看得见控制面：Agent 能调用哪些工具、能碰哪些目录、正在花哪把密钥的钱。Windows 桌面 Agent 的下载和试用入口见 https://agent.aimoogh.com/download。

结论

微软的说法有商业自利的一面，但安全模型本身站得住。Agent 之所以有用，正是因为它能行动；也正因为能行动，才需要像对待有特权的人类员工一样对待它：最小权限、职责分离、审批门、审计日志，以及随时能撤销的访问权。

常见问题

Guardian Agents 是什么？ 它是微软 Project Perception 中的安全功能，用来监控企业正在使用的 AI Agent。微软把它定位在模型厂商和企业数据、工具之间的独立控制层。

微软是说模型有恶意吗？ 不是。微软安全业务负责人说，前沿模型不可信是因为它们不可预测：它们被训练来完成目标，而不是遵守企业规范或判断边界。

Defender 能发现什么？ 微软称 Defender 能发现员工带入工作环境的 60 类 Agent，包括 Claude Code、Codex 和 OpenClaw，并能限制访问权限，或在风险动作前要求人工批准。

小团队最先该做什么？ 先做最小权限、独立凭据、危险或高成本动作审批和可读的审计记录。小团队不需要企业套件，也能照同样原则搭起基本防线。

相关阅读：