Microsoft behandelt eigene KI-Agenten als Insider und erweitert Project Perception

Microsoft behandelt eigene KI-Agenten künftig wie Insider mit minimalen Rechten

Microsoft hat neue Kontrollen angekündigt. Unternehmen sollen damit potenziell abtrünnige KI-Agenten überwachen und einschränken können. Agenten gelten dabei als Insider, nicht als vertrauenswürdige Software. Die Funktionen erweitern Project Perception, das agentische Sicherheitssystem aus roten, blauen und grünen Agenten in Microsoft Defender. Hayete Gallot hatte es am 27. Juli 2026 angekündigt. Bisher richtete sich Perception gegen externe, KI-getriebene Angriffe. Künftig soll es auch die Agenten erfassen, die Unternehmen selbst betreiben.

Eine zentrale Neuerung heißt Dynamic Permissions. Agenten starten ohne Rechte oder mit minimalen Rechten. Zugriff gibt es pro Aufgabe und nur für die nötige Dauer. Er läuft aus oder schrumpft, sobald sich die Aufgabe ändert oder endet. Organisationsweite Richtlinien ziehen die äußeren Grenzen. Folgenreiche Aktionen können eine menschliche Freigabe verlangen.

Microsoft begründet den Schritt mit der Lage in Unternehmen. Agenten seien oft überprivilegiert. Bei wechselndem Kontext könnten sie sich anders verhalten, Fehler machen oder manipuliert und kompromittiert werden. Nadim Abdo betont jedoch, Agenten seien deshalb nicht von Natur aus bösartig. Konzernchef Satya Nadella fordert, die Kontrollen außerhalb des Modells anzusiedeln. Dabei handelt es sich um Herstellerangaben.

Risiko-Score steuert, ob ein Agent gedrosselt, gesperrt oder gestoppt wird

Dynamic Agent Risk vergibt für jeden Agenten eine laufend aktualisierte Bewertung. Sie stützt sich auf Signale aus Identität, Daten, Endpunkten, Cloud, Netzwerk, Laufzeit und Agentenaktivität. Auch die Frage fließt ein, ob das Handeln von der Absicht des Nutzers oder der Organisation abweicht.

Dynamic Conditional Access erweitert Entra Conditional Access auf Agenten. Steigt das Risiko, kann die Richtlinie Rechte reduzieren. Sie kann Schreibzugriffe blockieren und zugängliche Ressourcen eingrenzen. Ebenso möglich sind eine menschliche Freigabe oder die Isolation und das Stoppen des Agenten.

Hinzu kommen Guardian Agents, die Agentenaktivität fortlaufend beaufsichtigen, sowie Playbooks. Perception verbindet nach Microsofts Darstellung deterministische Sicherheitskontrollen mit nicht-deterministischen KI-Systemen. Wie stark einzelne Signale in den Score eingehen und ab welchen Schwellenwerten welche Maßnahme greift, ist im vorliegenden Material nicht dokumentiert.

Erkennung wächst auf 60 lokale Agententypen, darunter Claude Code, Codex und GitHub Copilot

Die Agentenerkennung unterstützt jetzt 60 Typen lokaler Agenten. 35 davon sind neu. Genannt werden Claude Code, Codex und GitHub Copilot. Außerdem erweitert Microsoft Entra Agent ID. Erkannte wie unbekannte Agenten erhalten damit eigene Identitäten. So lassen sich Handlungen einer Person von denen eines Agenten unterscheiden, der in ihrem Auftrag handelt.

Für Administratoren heißt das: Agenten registrieren und Richtlinien festlegen. Beschäftigte müssen damit rechnen, dass ihre Agenten bei steigendem Risiko gedrosselt werden können.

Nur Limited Public Preview: Zugang auf eingeladene Kunden beschränkt

Laut Microsoft Learn befindet sich Project Perception in einer Limited Public Preview. Sie steht nur einer kleinen, einladungsbasierten Kundengruppe offen. Die Dokumentation warnt, dass sich das Produkt vor der kommerziellen Veröffentlichung wesentlich ändern kann. Voraussetzung sind Zugang zum Defender-Portal und aktiviertes URBAC über alle Defender-Workloads.

Ein Produktprofil auf beri.net spricht dagegen von einer Public Preview seit dem 3. August. Vermutlich handelt es sich um eine verkürzte Darstellung der eingeschränkten Preview. Maßgeblich ist die Herstellerdokumentation.

Aussagen zu Reward Hacking, zu Agenten, die ohne Kompromittierung zusammenarbeiten und kollidieren könnten, sowie zur Vision einer „ambienten und autonomen“ Sicherheit sind Herstellerangaben. Microsoft nennt dafür im Material keine Fälle oder Zahlen. Die Neuerung ist damit bislang vor allem als Ankündigung belegt.