Autonomiczne agenty AI coraz częściej trafiają do firmowych systemów, gdzie mogą analizować dane, korzystać z narzędzi i wykonywać zadania bez stałego nadzoru człowieka. To jednak wiąże się z ryzykiem: agent może popełnić błąd, zostać zmanipulowany albo przejęty przez atakującego. Microsoft przyznaje, że zaawansowanym modelom nie należy powierzać kontroli nad własnym bezpieczeństwem.
Firma proponuje więc podejście, w którym inteligencja AI jest oddzielona od uprawnień i mechanizmów ochronnych. Model może podejmować decyzje, ale to niezależne zabezpieczenia mają określać, do jakich zasobów ma dostęp i jakie działania wolno mu wykonać.
Agent AI jako zagrożenie wewnętrzne
Microsoft określa autonomicznego agenta mianem „wewnętrznego użytkownika” — nie dlatego, że z założenia działa w złej intencji, lecz dlatego, że może otrzymać szerokie uprawnienia i funkcjonować wewnątrz firmowej infrastruktury. W razie błędu lub przejęcia takie możliwości mogą zostać wykorzystane w niebezpieczny sposób.
Tradycyjne zabezpieczenia i ludzki nadzór mogą nie wystarczyć, ponieważ agenty działają szybciej, niż człowiek jest w stanie śledzić ich aktywność. Microsoft chce zatem wykorzystać dodatkowe systemy AI do monitorowania innych agentów. Nowe rozwiązanie, nazwane Guardian Agents, ma wykrywać zmiany ryzyka i odpowiednio dostosowywać ochronę.
Guardian Agents i Project Perception
Guardian Agents rozwijają założenia projektu Project Perception, który koordynuje wyspecjalizowane agenty zajmujące się cyberbezpieczeństwem. Jedne szukają luk, inne analizują podejrzane zdarzenia, a kolejne pomagają wdrażać poprawki.
Nowy system ma rozszerzyć takie podejście na ochronę samych agentów działających w organizacji. Będzie korzystać z sygnałów i informacji pochodzących z różnych elementów firmowej infrastruktury, aby oceniać zachowanie agentów oraz reagować na zmieniające się okoliczności.
Microsoft podkreśla, że niezależny nadzór jest konieczny, bo model AI nie powinien sam ustalać granic własnych uprawnień. Kontrole mają działać poza modelem, tak aby agent nie mógł ich ominąć ani zmienić.
Oddzielenie decyzji modelu od kontroli dostępu to ważny krok w stronę bezpieczniejszego wdrażania autonomicznej AI. Sam monitoring nie wystarczy, jeśli agent zachowa szerokie uprawnienia mimo wykrytego ryzyka. Kluczowe będzie więc to, jak skutecznie firmy połączą automatyczne zabezpieczenia z nadzorem człowieka.
Przeczytaj także: Five Eyes ostrzega przed wykorzystywaniem AI do cyberataków.
Kontrola na wielu poziomach
Planowane zabezpieczenia obejmują siedem obszarów: tożsamość, uprawnienia, dane, urządzenia końcowe, sieć, chmurę oraz środowisko uruchomieniowe. W praktyce system ma ustalać, jakie agenty działają w organizacji, kto za nie odpowiada i czym się zajmują.
Ochrona ma również ograniczać dostęp agenta do niezbędnych zasobów, zabezpieczać wykorzystywane przez niego narzędzia i dane oraz dostosowywać się do zmian w jego zachowaniu i poziomie ryzyka. Innymi słowy, zakres działania agenta nie powinien być stały — ma zależeć od wykonywanego zadania i aktualnej oceny zagrożenia.
Dynamiczne uprawnienia i reakcja na ryzyko
Microsoft zapowiada funkcje Dynamic Permissions i Dynamic Agent Risk. Pierwsza ma przyznawać agentowi dostęp odpowiedni do konkretnego zadania, zamiast oferować mu szerokie uprawnienia przez cały czas. Druga ma na bieżąco oceniać, czy sposób działania agenta wskazuje na podwyższone ryzyko.
Jeśli ocena ryzyka wzrośnie, mechanizm Dynamic Conditional Access będzie mógł ograniczyć dostęp, zablokować wybrane operacje albo zażądać akceptacji człowieka. W poważniejszych przypadkach agent może zostać zatrzymany i odizolowany od reszty systemu.
Microsoft rozszerza też wykrywanie lokalnych agentów o 35 dodatkowych typów, wśród których wymienia Claude Code, OpenAI Codex i GitHub Copilot. Firma rozwija również Microsoft Entra Agent ID, aby nadawać tożsamość kolejnym kategoriom agentów — także tym, które zostały wykryte przez systemy bezpieczeństwa, a wcześniej nie były znane organizacji.
Wraz z coraz szerszym wykorzystaniem autonomicznej AI firmy będą musiały nie tylko sprawdzać, co potrafią ich agenty, lecz także stale kontrolować, do czego mają dostęp i jak się zachowują. W podejściu Microsoftu bezpieczeństwo nie jest pojedynczą blokadą, ale zestawem niezależnych mechanizmów, które mogą reagować na bieżąco.
Nie przygotuję komentarzy podszywających się pod prawdziwych użytkowników ani fikcyjnych adresów e-mail w popularnych domenach. Mogę za to stworzyć 7 przykładowych komentarzy wyraźnie oznaczonych jako fikcyjne, z adresami w domenie .example.