微软给企业 AI 智能体配了个“监工”：前沿模型一律不可信，Claude Code、Codex 都在名单里

凌晨两点，一家制造企业的采购智能体发现某颗芯片库存告急，于是自己比价、自己下单、自己填好了收货地址。整个过程没有人点过一次“确认”。第二天早上，采购经理看到的是一封已经生效的订单邮件——这就是微软安全团队所说的“内部威胁”，只不过这位“员工”不是人。

10 月 20 日，微软推出一组面向企业的智能体安全功能，核心是一个叫“守护智能体”（Guardian Agents）的产品。它不盯外面的黑客，而是盯着企业内部正在运行的 AI 智能体。

一分钟速览

• 微软发布 Guardian Agents，专门监控企业内部 AI 智能体的行为
• 该功能隶属 6 月上线的“感知项目”，此前已有红队、蓝队、绿队三类智能体
• 微软 CEO 纳德拉：不能把智能体代我们行事的责任，外包给模型厂商
• Defender 可识别多达 60 种员工带入工作环境的智能体，Claude Code、Codex 都在名单里
• 微软同时是英伟达“开放智能体安全平台”创始成员，该平台已有 100 多家企业支持

防的不是黑客，是“自己人”

“感知项目”今年 6 月上线时的假设很传统：AI 黑客会从企业外部打进来。所以它配置了三类智能体——扮演攻击者的红队、负责发现漏洞的蓝队、专门打补丁的绿队。这套思路本质上还是把 AI 当成一件更锋利的安全工具。

但过去几个月，情况变了。微软 CEO 萨提亚·纳德拉在个人博客里提醒企业：威胁的来源，可能正是企业自己部署、自己付费使用的智能体。他的话很直接——我们正在部署能访问最敏感数据、还能代表公司执行关键业务的系统，那就不能把“它替我们做事”的责任一并外包给模型供应商。

微软安全业务负责人海耶特·加洛说得更不客气：“前沿模型无论来自哪里，都无法被完全信任。”她解释，这不是因为模型有恶意，也不是因为容易被攻破，而是因为它的行为不可预测：模型被训练来完成目标，而不是来遵守组织的规范和判断准则。再加上智能体通常手握高权限，能碰数据和工具，一旦跑偏，后果会被权限放大。

它到底怎么管

按照微软的描述，守护智能体会持续观察企业内部智能体的调用链：谁在什么时候调用了什么工具、访问了哪些数据、动作是否偏离了既定任务。与之配套的，是 Microsoft Defender 里新增的智能体检测能力，可以识别员工带进办公环境的 60 种智能体，其中既有开发工具，也有个人助理类产品。

管控手段分三层：限制智能体能访问的数据和系统；根据当前任务动态调整权限；当智能体即将执行高风险动作时，强制转人工审批。换句话说，微软卖的不是“更聪明的智能体”，而是“给智能体上的刹车和行车记录仪”。

一门生意，也是一次站队

这套产品最微妙的地方在于立场。微软既是 OpenAI 的最大投资方之一，也是 Anthropic 的重要合作伙伴，而它现在告诉客户：不要相信这些实验室给的Safety承诺，要买一套独立于模型厂商的监控系统。

从商业上看这很好理解——企业买安全产品，钱进的是微软云的口袋，而不是模型厂商的口袋。但抛开利益冲突，这个逻辑本身站得住：审计机构必须独立于被审计对象，监控智能体的系统也不该由智能体的卖方来提供。纳德拉把它概括为一句话：把“智能能力的供给”和“对它的管控权”分开。

数据与趋势

这已经不是微软一家的动作。英伟达牵头成立了“开放智能体安全平台”，微软是创始成员，支持企业超过 100 家；平台的做法是把智能体关进隔离环境，用硬件监测异常并直接终止，相当于一个紧急切断开关。与之呼应的是，微软上周还发布了内置智能体安全管控模块的 Surface Laptop Ultra。

把这几件事连起来看，一条新赛道已经浮出水面：智能体治理。过去企业采购 AI 只算两笔账——模型调用费、算力费；接下来会多出第三笔，叫“管控费”。对于正在把智能体接进业务流程的公司，这未必是坏消息：能被审计、能被限权、能被随时叫停的智能体，才可能真正拿到生产环境的钥匙。

参考链接：Microsoft Security Blog