Do tej pory korporacyjne strategie bezpieczeństwa zakładały, że zagrożenie AI przyjdzie z zewnątrz od hakerów uzbrojonych w potężne modele ofensywne. Microsoft proponuje odwrócenie tej perspektywy: najgroźniejszym „napastnikiem” może być agent, którego firma sama wdrożyła, opłaca i obdarzyła dostępem do najważniejszych systemów. W poniedziałek koncern zaprezentował pakiet funkcji bezpieczeństwa zbudowanych wokół tej właśnie tezy, a jego szef bezpieczeństwa Hayete Gallot ujął ją bez ogródek: frontier models, niezależnie od pochodzenia, nie mogą być zaufane.
Kluczowym elementem ogłoszenia jest Guardian Agents czyli mechanizm nadzoru nad agentami działającymi w organizacji, wchodzący w skład zaprezentowanego w czerwcu projektu Project Perception. Pierwotnie produkt projektowano z myślą o obronie przed zewnętrznymi modelami ofensywnymi: obejmował „czerwony zespół” symulujący ataki, „niebieski” wykrywający podatności oraz „zielony” odpowiedzialny za ich naprawę. Teraz ciężar przesuwa się do wnętrza firmy nadzoru nad agentami, którzy mają uprawnienia porównywalne z etatowymi pracownikami, a przy tym żadnego wyczucia organizacyjnych norm.
To nie kaprys działu marketingu, lecz konsekwencja ostrzeżeń Sameya Nadelli. Szef Microsoftu od miesięcy przekonuje, że zapewnienia dostawców o bezpieczeństwie ich produktów agentowych nie zdejmują z przedsiębiorstw odpowiedzialności za skutki ich działań. Jego argument sprowadza się do rozdziału dwóch ról: dostawca inteligencji nie powinien mieć władzy nad tym, co ta inteligencja robi w firmie. Model jest trenowany do wykonania zadania, a nie do kierowania się polityką organizacji i właśnie ta różnica czyni go nieprzewidywalnym, nawet jeśli nie jest złośliwy ani łatwy do przełamania.
W tle kryje się jednak interes biznesowy, którego nie da się pominąć. Microsoft jest blisko związany zarówno z OpenAI, jak i z Anthropic inwestował w obie firmy, a OpenAI pozostaje jednym z jego największych klientów chmurowych. Koncern ma też własne laboratorium modeli. Ostrzegając przed zaufaniem do modeli frontier, podważa więc częściowo własne interesy, ale jednocześnie sprzedaje lekarstwo: to on, jako dostawca chmury, ma dostarczać narzędzia nadzoru. Logika jest przy tym spójna audytor powinien być niezależny od podmiotu, który audytuje.
Poza Guardian Agents Microsoft rozbudował Defendera o wykrywanie nawet 60 typów agentów wnoszonych do pracy przez pracowników, w tym Claude Code, Codex i OpenClaw. Doszły mechanizmy ograniczania dostępu do danych i systemów, dynamiczne dopasowywanie uprawnień do realizowanego zadania oraz wymóg zatwierdzenia przez człowieka, gdy agent podejmuje decyzje o podwyższonym ryzyku. Widać tu wyraźny wzorzec: uprawnienia agenta przestają być stałe, a stają się kontekstowe i odwoływalne.
Trend wykracza poza jednego producenta. Microsoft był jednym z założycieli platformy Open Agent Safety Platform Nvidii, wspieranej przez ponad 100 firm technologicznych, która izoluje agentów w bezpiecznych środowiskach i potrafi zatrzymać ich działania na poziomie sprzętowym w praktyce jak wyłącznik awaryjny. Wcześniej koncern pokazał komputery Surface Laptop Ultra zaprojektowane z myślą o agentach, z zabezpieczeniami wbudowanymi w system. Rynek powoli przyjmuje założenie, że agenta trzeba traktować jak nowego insidera: z uprawnieniami, historią działań i stałym nadzorem.
Podsumowanie: Microsoft przekonuje, że bezpieczeństwo agentów AI trzeba organizować na wzór ochrony przed zagrożeniem wewnętrznym z niezależnym nadzorem, ograniczonymi uprawnieniami i ludzką kontrolą w krytycznych momentach. Nawet jeśli argumentacja służy sprzedaży własnych produktów, trudno odmówić jej racji: firma, która oddaje agentowi klucze do systemów, musi mieć własny sposób, by je odebrać.