Microsoft: agenții IA, amenințări interne, permisiuni dinamice

Microsoft a prezentat un set de controale pentru a supraveghea și a limita agenții de inteligență artificială pe care companiile îi rulează intern. Ideea de bază, relatată de Help Net Security, Security Affairs și SecurityWeek, este ca agenții să fie tratați ca posibile amenințări interne, nu ca software de încredere din oficiu. Potrivit SecurityWeek, anunțul a fost făcut luni, 19 octombrie 2026.

Noutățile extind Project Perception, sistemul de securitate „agentic” pe care, potrivit SecurityWeek, Microsoft l-a lansat în iulie împotriva atacurilor externe bazate pe IA și pe care acum îl aplică și agenților interni.

De ce „amenințare internă”

Microsoft precizează că eticheta nu înseamnă că agenții sunt rău intenționați. Nadim Abdo, vicepreședinte pentru identitate și acces la rețea, explică faptul că sunt instrumente capabile, cărora utilizatorii le dau acces la sisteme importante, și că pot greși, pot fi manipulate sau compromise. Hayete Gallot, vicepreședinte executiv Microsoft Security, adaugă că agenții au adesea mai multe privilegii decât e nevoie și iau decizii în procese critice.

Punctul tehnic, subliniat de Security Affairs, este că un agent care pornește cu permisiunile corecte poate deveni periculos în timpul execuției: o instrucțiune ascunsă într-un document extern (prompt injection), date nesigure care îi deviază raționamentul, o sarcină care evoluează neprevăzut. Nu e nevoie de o compromitere în sens clasic, iar la viteza unei mașini intervalul dintre deviere și pagubă este foarte scurt. De aceea Microsoft propune ca un sistem nedeterminist să fie înconjurat de controale deterministe, aflate în afara modelului și pe care modelul nu le poate modifica, pentru identitate, permisiuni, date, endpointuri, rețea, cloud și medii de execuție.

Inventarul și identitatea agenților

• Descoperire: Microsoft Security recunoaște încă 35 de tipuri de agenți locali, 60 în total, printre care Claude Code, OpenAI Codex și GitHub Copilot. Agenții descoperiți pot fi aduși într-un registru unic, comun cu Microsoft Agent 365, planul de control pentru implementarea și guvernarea agenților, cu proprietar, activitate și risc.
• Identitate: Microsoft Entra Agent ID se extinde la mai multe tipuri de agenți, inclusiv cei locali și cei necunoscuți găsiți de senzori. Fiecare agent primește o identitate distinctă de cea a persoanei care îl folosește sau l-a solicitat, astfel încât acțiunile utilizatorului să poată fi separate de cele făcute de agent în numele lui. Potrivit Help Net Security, un agent poate deveni ținta unor politici chiar dacă nu a fost integrat cu produsele de securitate Microsoft.

Help Net Security notează și nevoia de a controla conexiunile agenților către instrumente, API-uri, servere MCP (Model Context Protocol), date și alți agenți, examinând atât destinațiile, cât și conținutul schimbat: date sensibile și instrucțiuni nesigure.

Permisiuni dinamice și risc continuu

• Dynamic Permissions: agentul pornește fără permisiuni, sau cu minimul necesar, și primește doar autoritatea de care are nevoie pentru sarcina aprobată și doar pe durata ei. Permisiunile se reduc sau expiră când sarcina se schimbă ori se încheie, agentul nu poate obține mai multă autoritate decât utilizatorul său, iar acțiunile cu impact mare pot necesita aprobarea verificată a unei persoane. Angajatul își păstrează propriile accese.
• Dynamic Agent Risk: un scor actualizat continuu, care combină semnale de identitate, date, endpointuri, cloud, rețea, runtime și activitatea agentului. Ține cont de configurație, de resursele accesibile, de paguba posibilă și de semnele de deviere față de intenția utilizatorului sau a organizației.
• Dynamic Conditional Access: aduce Conditional Access din Entra la agenți. În funcție de risc, răspunsul este gradual: citire permisă și scriere blocată, mai puține date și resurse accesibile, conexiuni de rețea restrânse, accese temporare scurtate sau revocate, aprobare umană. La nivelurile cele mai înalte, izolarea runtime-ului sau oprirea execuției.

Exemplul Microsoft: un agent care procesează decontări de cheltuieli întâlnește instrucțiuni suspecte și încearcă o acțiune străină de sarcina sa. Sistemul îi retrage permisiunea de a aproba cheltuielile, dar îi lasă posibilitatea de a le examina; dacă riscul crește în continuare, îl izolează sau îl oprește.

Guardian Agents și Playbooks

Pentru a gestiona volumele (Microsoft spune că rulează deja intern sute de mii de agenți), apar Playbooks, care definesc rezultatul de securitate urmărit, și Guardian Agents, agenți de securitate care investighează de ce s-a schimbat riscul unui agent, propun sau aplică izolarea și folosesc ce învață pentru a întări politicile. Oamenii stabilesc obiectivele, regulile și pragurile de aprobare.

Security Affairs semnalează limita evidentă: și Guardian Agents sunt agenți IA și pot greși sau pot fi manipulați la fel ca cei pe care îi controlează. Microsoft răspunde că controalele trebuie să rămână în afara modelului; cât de bine se respectă asta în practică rămâne de văzut în implementările reale. Sursele nu indică date de disponibilitate, licențe sau stadiul (previzualizare ori disponibilitate generală) fiecărei funcții.

Impactul pentru companiile europene și italiene

Nu este o vulnerabilitate, ci un model de control, valabil și pentru cine nu folosește produse Microsoft. Un agent cu credențiale ale companiei este, de fapt, un cont privilegiat: dacă este manipulat, acționează cu accese legitime, același tipar al conturilor valide (MITRE ATT&CK T1078) care face greu de detectat multe intruziuni. Pentru entitățile NIS2, agenții intră sub măsurile din articolul 21 privind gestionarea activelor, controlul accesului și securitatea lanțului de aprovizionare; în sănătate, unde agenții pot atinge date clinice, separarea citirii de scriere și aprobarea umană pentru acțiunile ireversibile sunt și mai importante.

Ce să faci acum

1. Inventariază agenții, inclusiv cei locali de pe stațiile dezvoltatorilor (agenți de programare precum cei amintiți), cu credențialele și tokenurile pe care le folosesc.
2. Dă fiecărui agent o identitate proprie, în loc să-l lași să folosească sesiunea sau tokenurile utilizatorului, cu permisiuni minime și de scurtă durată.
3. Separă citirea de scriere și cere aprobarea unei persoane pentru ștergeri, plăți, lansări în producție și modificări ale conturilor.
4. Limitează conexiunile: servere MCP, API-uri și destinații de rețea permise; tratează orice conținut extern citit de agent ca nesigur.
5. Înregistrează acțiunile agenților într-o arhivă centrală, definește alerte pentru comportamente din afara sarcinii și păstrează o modalitate de a-i opri imediat.
6. Dacă folosești Entra și Microsoft 365, verifică împreună cu Microsoft disponibilitatea și licențele pentru Entra Agent ID, Agent 365 și noile funcții înainte de a planifica adoptarea lor.

Cum ajută ARXDOME

Agentul ARX Sentry, pe Windows, Linux și macOS, colectează inventarul de software, procese și porturi și jurnalele de securitate ale mașinilor: te ajută să afli ce agenți IA rulează de fapt pe stații. Paginile SOC dedicate identităților arată accesele privilegiate, rafalele de încercări și modificările conturilor. Dacă o mașină se comportă suspect, ARX Shield îți permite să o izolezi de rețea cu un clic și să o eliberezi în mod controlat.

Ultima actualizare: 20 octombrie 2026