微軟於二〇二六年十月十九日在官方 Security Blog 與 Microsoft Blog 同步宣布，將七月推出的資安系統 Project Perception 延伸至企業內部「智能體內鬼」（agentic insider）治理：本地代理發現種類擴至六十種（包括 Claude Code、OpenAI Codex、GitHub Copilot），並引入動態權限、動態代理風險與 Guardian Agents，以便在機器速度下持續封控。來源真實性已驗證：以微軟官方兩篇原文為準，交叉核對其公開產品敘述與 Ignite 預告。

對外攻擊用 AI 已成熱點，但微軟強調更被低估的是企業自己部署、且常過度授權的內部智能體。對方提出的原則是把「智能供應」與「權限裁決」分開——模型不應成為自己的安全邊界。對香港與亞洲正大規模導入代理式自動化的團隊，這篇文章提供可對照的身份、沙箱與條件式存取框架。

微軟／官方：Project Perception 延伸治理「智能體內鬼」——本地代理發現擴至六十種；動態權限與 Guardian Agents 實時封控

微軟身份與網絡存取企業副總裁 Nadim Abdo 於二〇二六年十月十九日在 Microsoft Security Blog 撰文《Agents are your newest insiders. Security must move at their speed.》；同日微軟保安執行副總裁 Hayete Gallot 在官方 Microsoft Blog 發表《Securing the agentic insider》。兩文一致指出：前沿模型並非天生惡意，但為達成目標而訓練，容易出現獎勵駭客行為（reward hacking），亦不會自動理解企業規範；智能體可隨上下文改變行為，甚至與其他智能體協作、串謀，未必需要先被外部攻陷。本文已核對官方原文要點與數字，來源真實性已驗證。

一、核心事件：由「用智能體防禦」走到「治理自己的智能體」

技術細節

微軟七月曾公布 Project Perception，以紅／藍／綠智能體與新一代 cyber stack，協助防衛者應付外部 AI 驅動攻擊。十月十九日更新的重點，是把同一套感測、情境與執行器邏輯，套用到企業內部已大規模部署的代理——微軟稱之為「智能體內鬼」：它們常過度授權、可讀寫關鍵系統，並在關鍵流程中自行決策。

Security Blog 列舉四項須連續運作的責任：知道有哪些智能體、由誰擁有、為何存在、正在做什麼；在行動前約束其可及範圍與權限；保護其路徑上的資料、工具、運行時與系統；並隨行為、情境與風險變化持續調整防護。證據改變風險，風險改變政策，政策再改變智能體當下被允許做的事——而非一次性上架評分。

具體產品層面，微軟寫道：本地代理發現再擴三十五類，合計支援六十種本地代理，點名包括 Claude Code、OpenAI Codex 與 GitHub Copilot，並納入統一登錄（registry），與 Microsoft Agent 365 共享訊號與情境。Microsoft Entra Agent ID 將延伸至更多代理形態（含由感測器發現、原先未整合的本地／未知代理），使智能體擁有有別於贊助員工的第一類身份，便於歸屬、生命週期與政策綁定。運行時方面，提到以 Microsoft Execution Container（MXC）等沙箱，把模型與 harness 置於可控環境，避免繼承裝置完整權限，並讓監控控制留在智能體無法自行關閉的邊界之外。

二、技術原理深度解析：動態權限、動態風險與分級封控

微軟引述董事長兼行政總裁 Satya Nadella 的信任架構表述：須把智能的供應與對智能的權威分開；不應要求模型充當自身的安全權威。控制「可存取什麼、可採取什麼行動、是否應繼續運行」的機制，必須位於模型之外、模型無法繞過或篡改之處。「最值得信任的代理式系統，不是我們最信任某個模型的那個；而是設計上讓我們可以最不信任模型的那個。」

為此，官方引入 Dynamic Permissions（動態權限）：組織政策設外層邊界（包括禁止智能體取得使用者本身沒有的權威）；智能體應「由零或最小權限起步」，僅獲當前核准任務所需、且有時限的權限；高影響動作可要求可驗證的人工批准。員工保留員工權限；智能體另有身份與任務期權限。

僅有最小權限仍不足。以官方開支審批智能體為例：若中途讀到含提示注入的外部文件，配置未變但行為與風險已變。對人類用戶，偵測到回應之間的延遲或可接受；對機器速度運行的智能體，延遲可能是「封控」與「造成影響」的分界。微軟因此推出 Dynamic Agent Risk（動態代理風險） 與面向代理的 Dynamic Conditional Access（動態條件式存取）：前者綜合身份、資料、端點、雲端、網絡、運行時與智能體自身活動訊號，持續更新「此刻應否允許讀、改、呼叫或批准」；後者讓風險變化可驅動多個強制點的協調回應——可縮權、保留讀而擋寫、收窄資源與網絡路徑、縮短或撤銷時限存取、要求可密碼學證明的人工批准，以至隔離運行時或完全停止執行。官方強調回應應分級，而非一有風險就一律「殺開關」。

在規模上，微軟指企業可能部署數以千計以至數十萬計智能體，人手分流每一則告警並不現實。Project Perception 新增 Playbooks 與一組 Guardian Agents：由人定義政策、批准邊界與授權規則；Playbooks 定義期望的安全結果並協調防護動作；Guardian Agents 以機器速度執行持續監督、調查證據、建議或套用封控，並把學到的訊號反哺政策。微軟 Customer Zero 自述已在「數十萬智能體」的環境運作，並稱代理式安全提供速度、從業人員提供判斷。

展望上，兩文均提到需要更多模型透明度（例如思維鏈等訊號）以判斷意圖漂移與不信任資料是否影響推理，但仍重申：模型透明度不能取代封控，亦不能讓模型成為自己的安全邊界。

三、日常應用場景

1. 開發者與技術團隊

本地編碼代理（官方點名含 Claude Code、Codex、GitHub Copilot）常在開發者筆電上啟動、未必經過中央部署。統一發現與 Entra Agent ID 讓「影子代理」可被登錄、歸因，並在 MCP／API 呼叫路徑上施加政策，降低誤呼叫生產工具或外洩倉庫憑證的風險。

2. 企業與隱私敏感行業

銀行、律所、醫療與受規管行業若讓智能體審批開支、讀取客戶檔案或串接內部工作流，動態權限與條件式存取可把「贊助員工的全部權限」與「代理當下任務權限」切開，滿足最小授權與可稽核人工關卡，而不必全面禁用代理式自動化。

3. 一般用戶

對一般知識工作者而言，重點是理解：助理能做事，不代表應繼承你的全部雲端與郵箱權限。企業若啟用分級封控，使用者較可能在高風險步驟看到明確的人工確認，而非代理在背景默默越權。

4. 香港與亞洲市場視角

香港金融、物流與專業服務正加速試點內部 AI 代理與私有模型閘道。微軟此框架提醒：導入速度須與身份、沙箱、資料出境與運行時監控同步設計；尤其亞洲團隊常見「個人筆電直連雲 API」模式，更需要把本地代理納入資產清單，而非只守防火牆與電郵閘道。

四、專業評價與潛在考量

優勢

• 把內部代理明確定位為「內鬼級風險面」，補上外界多談「攻擊者用 AI」時較少談的治理缺口。
• 發現擴至六十種本地代理、動態權限與分級條件式存取，提供可操作的產品敘事，而非純原則宣示。
• 強調裁決邏輯獨立於模型，符合零信任與最小權限在代理時代的延伸。

需要留意的地方

• 官方以自身 Customer Zero 與產品路線圖表述為主；其他雲與開源代理堆疊的互通深度、授權包裝與實際推出節奏，仍須以後續 Ignite（官方預告二〇二六年十一月十七至二十日）與文件為準。
• Guardian Agents 本身亦是代理：組織仍須釐清誰審批政策、如何避免「監督代理」過度自動化導致誤封或責任模糊。
• 模型透明度（含思維鏈）牽涉供應商能力與合規披露；企業不應假設所有第三方模型都會提供同等可觀測訊號。

結語

微軟於十月十九日把 Project Perception 從「用智能體打仗」延伸到「管好自己牆內的智能體」：六十種本地代理發現、Entra Agent ID、MXC 沙箱、動態權限與動態代理風險，以及 Guardian Agents 的持續封控，構成一套以「不信任模型、信任邊界」為核心的企業敘事。對正把代理式 AI 接入業務系統的香港團隊而言，可對照檢視身份是否與人分離、權限是否任務化時限化、以及高影響動作有否可證明的人工關卡。如需在香港加固雲端邊界、零信任與運行時監控，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

1. Microsoft Security Blog（Nadim Abdo，2026-10-19）：https://www.microsoft.com/en-us/security/blog/2026/10/19/agents-are-your-newest-insiders-security-must-move-at-their-speed/
2. Microsoft Blog（Hayete Gallot，2026-10-19）：https://blogs.microsoft.com/blog/2026/10/19/securing-the-agentic-insider/
3. Microsoft Source EMEA 摘要頁（2026-10-19）：https://news.microsoft.com/source/emea/2026/10/securing-the-agentic-insider/