Microsoft опубликовала рекомендации, в которых ИИ-агенты описываются как внутренние угрозы — на том основании, что frontier-моделям нельзя полностью доверять. Такой подход смещает риск агентов с периметра на внутреннего принципала: агент, обладающий учётными данными, доступом к инструментам и сетевой достижимостью, ведёт себя не столько как внешний злоумышленник, сколько как скомпрометированная учётная запись, уже находящаяся внутри границы доверия.
Вместе с рекомендациями Microsoft выпустила инструменты для мониторинга и ограничения вышедших из-под контроля агентов на уровне runtime. Компания позиционирует безопасность агентов как нечто, что должно работать на скорости машины, а не в темпе человеческого ревью, — и это существенное ограничение для проектирования: очереди согласований и периодические аудиты не успевают за объёмом действий агентов, поэтому средства контроля приходится применять inline. Рекомендации выходят одновременно с отдельным обновлением Microsoft Foundry, добавляющим агентов по расписанию и расширенное использование инструментов, — сочетание, которое увеличивает как автономность, так и охват того, что развёртывают команды.
Для команд, строящих агентные системы, практическое следствие — смещение того, где находятся средства контроля. Скоупинг по принципу наименьших привилегий для каждого агента и каждого инструмента, мониторинг исходящего трафика при внешних вызовах и быстрые пути отзыва становятся первичной защитой, а не гигиеной. Из материалов неясно, какие именно runtime-средства контроля общедоступны, а какие находятся в preview, и как инструменты мониторинга интегрируются с существующими стеками идентификации и SIEM.