用人要疑：微软把企业里的 Agent 当成「内部人员」来管
微软把企业里的 Agent 当成“内部人员”来管：Project Perception 扩展到治理内部 Agent，Guardian Agents 在动作发生前监督、逐级处置。
中国人讲用人之道，有一句老话叫「用人不疑，疑人不用」。这句话放在人身上，有它的道理，因为人有来历，有脾气，有可以长期观察的品性，日子久了，信任是一点一点攒出来的。可是如今企业里多了一种新同事，它不吃饭，不请假，不知疲倦，却没有来历可查，也谈不上什么品性。它就是 Agent。你把员工的账号、权限交给它，让它去读邮件、查报表、批单子，它就真的拿着这些钥匙在公司里四处走动。对于这样一位同事，「用人不疑」这四个字，恐怕得倒过来念。
微软大概也是这么想的。据微软 10 月 19 日发的两篇官方博客，作者分别是 Hayete Gallot 和 Nadim Abdo，他们提出了一个说法，叫「agentic insider」，直译过来就是「智能体式的内部人员」。安全行业里本来就有「内部威胁」这个老概念，说的是那些手里有合法权限、却可能把权限用歪的员工。微软的意思是，Agent 现在也站到了这个位置上，它不是从外面撬锁进来的贼，而是拿着门禁卡、从正门走进来的自己人，所以要用管理内部人员的办法来管它。
这件事里，我觉得最值得记住的，是微软安全博客里引用的 Nadella 的一句话，译成中文是：「最值得信任的智能体系统，不会是我们最信任其模型的那一个，而会是在设计上让我们能够最少信任模型的那一个。」这句话初听有点绕，细想却很朴素。过去大家谈 AI 安全，心思大多花在模型身上，希望把模型训得更乖、更听话、更有分寸，好像只要模型足够可靠，后面的事情就都放心了。这条路当然要走，但它把全部的赌注押在一个自己看不透的东西上。微软这次的思路是换个方向，承认模型本身没法完全靠得住，于是把控制放在模型外面，用他们的话说，叫「用确定性控制包住非确定性的智能」。
这让我想起老派手艺人对待新学徒的方式。师傅不会因为学徒看起来机灵，就把库房钥匙、账本和刻刀一起交出去，而是先让他扫地、递工具、做最不会出大错的活，旁边有人看着，出了岔子能马上叫停。这不是看不起学徒，而是知道一个人在没被检验过之前，再聪明也只是聪明，还算不上可靠。（这个比方是我自己打的，用来帮助理解，不是微软的说法。）微软给 Agent 安排的，大体也是这样一套规矩，只不过把「旁边有人看着」做成了系统。
具体怎么做，据微软官方博客的描述，大致分几步。先是把企业里的 Agent 找出来，线索来自身份、数据、云、终端、网络和运行时的各种信号。这一步听起来平常，其实是前提，你连家里有几位新同事都不知道，就谈不上管理。找到之后，给每个 Agent 分配身份、容器、策略和权限，也就是给它办一张工牌，划一块工位，写清楚能进哪些门、不能碰哪些柜子。然后，系统会动态地计算每个 Agent 的风险，风险不是一次定死，而是随着它的行为不断变化。
再往后，就轮到 Guardian Agents 出场了。微软的说法是，这是一些绿队、蓝队的 Agent，在动作发生之前持续监督。注意「之前」这两个字，这是它跟事后审计最大的不同。等出了事再去翻日志，账已经付了，邮件已经发了，数据已经出去了。Guardian Agents 要做的，是在 Agent 伸手之前看一眼，风险一旦升高，就逐级处置：先阻止写入，再收窄权限，再要求人工批准，实在不行就直接停掉。这个顺序我很喜欢，它不是一上来就拔电源，而是像一个有经验的老管事，先按住手，再收钥匙，再叫主人来看，最后才把人请出门。
微软还把整套做法归成四项职责，叫 Know、Contain、Protect、Adapt。我理解下来，大概就是知道有谁，关在该在的地方，护住要紧的东西，跟着情况调整。（四个词的中文解释是我的理解，原文以微软博客为准。）这四个词都不新鲜，安全行业说了很多年，新鲜的是对象换了。过去它们管的是人和机器，现在多了一种既像人又像机器的东西。
文章里举了一个例子，我觉得比所有原则都更能说明问题：报销审批 Agent，不应该继承发起报销那位员工的全部权限。这句话乍一看理所当然，可是在很多系统里，Agent 偏偏就是这么被搭起来的，图省事，直接拿员工的身份去跑，员工能做什么，Agent 就能做什么。一个只需要看报销单、核对金额、点一下批准的 Agent，手里却握着这位员工能访问的所有文件、所有邮箱、所有系统。平时相安无事，一旦它被一段恶意指令带偏，或者干脆自己理解错了任务，它能闯的祸，就是那位员工能闯的全部祸。（这一段的风险推演是我的分析，不是微软原文。）
人在系统里待久了，会生出一种幻觉，以为权限是跟着「人」走的，谁来干活，就该拿谁的钥匙。其实权限应该跟着「事」走，这件事需要什么，就给什么，事办完了，钥匙收回来。这个道理对人也一样成立，只是人有分寸，有顾忌，有怕丢饭碗的心，所以多给了也未必乱用。Agent 没有这些东西，它不会因为心虚而停手，也不会因为怕被骂而多想一步，它只是照着自己算出来的那条路往前走。对这样一位同事讲「用人不疑」，等于把分寸这件事整个交给了运气。
另外值得一提的是，据微软官方博客，Project Perception 是 7 月发布的，这次是把它扩展到治理企业内部的 Agent，并且和 Microsoft Agent 365 共享信号和统一的注册表。换句话说，微软想把「公司里有哪些 Agent」这件事登记在一本册子里，安全这边和管理这边看的是同一本。这当然是好事，至少比各部门各自养着一群 Agent、谁也说不清楚有多少要强。
不过，也得把话说清楚。这套东西现在还是邀请制的有限公开预览，入口在 Microsoft Defender 门户里，并不是谁都能马上用上，更不是已经大规模铺开的成熟产品。它在真实企业里效果怎样，Guardian Agents 会不会误伤、会不会漏网，逐级处置的门槛定在哪里合适，这些问题眼下都还没有答案，只能等用过的人慢慢说出来。拿一个 Agent 去盯另一个 Agent，听上去也有一点套娃的意思，盯人的那一个又由谁来盯，这也是早晚要回答的问题（这是我的疑问，微软博客里没有讨论这一点）。
说到底，这件事不复杂。模型会越来越聪明，这几乎是确定的，但聪明和可靠从来都是两码事，聪明的人闯起祸来，往往比笨人闯得更大。所以与其天天祈祷模型别出错，不如老老实实把门禁、工牌、权限、叫停的按钮都装好，然后承认自己确实不完全信它。这不是什么高明的见地，不过是老派人家管库房的常识，换了个新名字而已。用人要疑，句号。
来源：微软官方博客（Hayete Gallot，2026-10-19）；微软安全博客（Nadim Abdo，2026-10-19）；Microsoft Learn 文档。Nadella 引语为译文，原文见微软安全博客：“The most trustworthy agentic system will not be the one with the model we trust most. It will be the one designed that enables us to trust the model least.” Project Perception 目前为邀请制有限公开预览，入口在 Microsoft Defender 门户；文中比方、风险推演与疑问为作者观点。