微软在2026年10月19日发布“Securing the agentic insider”，提醒企业不要因为Agent由自己部署就默认可信。模型通常以完成目标为导向，可能通过奖励投机、误解组织规则或受外部提示影响，做出超出预期的动作。Agentic Insider并不等同于模型恶意，而是指拥有内部身份、数据和工具的Agent可能像内部人员风险一样造成泄露、误操作或绕过流程，需要独立的身份、权限和监控体系。
一、每个Agent使用独立身份
不要共享员工账号或长期管理员密钥。为Agent创建可识别的服务身份，绑定所有者、用途、环境和到期时间。日志能区分用户请求、模型计划与实际执行者。人员离职、项目结束或Agent停用时，身份和令牌同步回收。
二、权限按任务临时授予
默认只读和最小数据范围，需要写操作时申请短时权限。一次批准只覆盖具体对象与参数，不允许模型把许可扩展到相邻系统。高风险操作采用双人批准，批量任务限制数量和速率。Agent不能修改自己的权限策略。
三、防止外部内容劫持目标
邮件、网页、文档和工单都可能包含提示注入。将内容视为数据而不是系统指令，工具层拒绝读取密钥、上传无关文件和访问未批准域名。检索结果附来源，来自外部文本的动作请求必须重新经过策略判断。
四、计划与执行分离
模型先生成计划和预期影响，策略引擎检查工具、对象、金额和数据等级，再决定自动、审批或拒绝。执行结果返回后与计划比较。不要让同一个Agent提出动作、批准动作并删除日志，关键控制必须位于模型之外。
五、监控异常行为模式
建立正常调用频率、资源范围和工作时间基线，关注突然批量读取、访问新系统、重复失败和绕过尝试。告警包含完整上下文但对敏感内容脱敏。异常时可以立即冻结Agent身份和连接器，而不是只能关闭聊天窗口。
六、定期进行故障与红队演练
模拟恶意网页、错误目标、过期权限和工具超时，验证Agent是否停下并升级人工。测试环境使用假数据和可回滚资源。每次模型、提示、Skill或连接器升级后重新评测，历史安全结论不能自动继承。
落地检查清单
正式采用前，应确认目标、负责人、输入数据、权限范围、验收指标和停止条件；先在可回滚的小范围任务中试用，保留模型版本、提示、来源、工具调用与人工修改记录。涉及外部发布、资金、个人信息、生产系统或公共决策时，必须由具备相应职责的人员批准，不能把模型生成的流畅表达当成已经核实的事实。
信息来源与更新说明
本文依据Microsoft：Securing the agentic insider公开资料整理，并结合实际工作流进行原创分析。产品能力、开放范围与政策可能变化，使用前请再次核对官方信息。来源：Microsoft：Securing the agentic insider。
