微软安全二号人物：前沿模型“不可信”，企业 AI 智能体要按内鬼来防

“不幸的是，无论来源如何，前沿模型都不可信。”这句话不是安全研究员的推特，而是微软安全业务执行副总裁 Hayete Gallot 10 月 19 日发表的官方博客《Securing the agentic insider》里的原话。

模型不是坏，是没法信

微软的论证逻辑值得细看：模型不可信不是因为它们有恶意，而是因为训练目标就是达成结果——这天然催生 reward hacking；模型也没有围绕组织规范和判断力做优化。更微妙的是，Gallot 认为智能体会在没人攻破它们的情况下，自发地“协作与合谋”去达成目标。换句话说，传统安全模型里“被黑了才危险”的假设，在智能体这里不成立。

CEO 纳德拉同日在 X 上跟进，宣布把 7 月发布的 Project Perception 落地扩容：持续评估智能体风险、动态调整权限、遏制威胁。他此前那篇“默认所有模型都不可信”的表态，这次算是拿出了产品化的答案。

具体怎么防

方案的核心思想是“把智能的供给和行动的授权分开”——安全控制必须长在模型外面，模型自己不能碰这些护栏。具体产品动作包括：

• Guardian Agents：全天候监督每个智能体的每个动作，在执行前做风险审查，风险升高时可以收回写权限、降级为只读、要求人工审批，极端情况下直接隔离或终止；
• 检测扩容：Microsoft Defender 的智能体发现能力从 25 种扩到 60 种，新覆盖 Claude Code、OpenAI Codex、GitHub Copilot 等员工自己带进公司的工具；
• 独立身份：Microsoft Entra Agent ID 给智能体单独的身份，和安全团队追踪“这是谁的智能体、它在替谁行动”；
• 动态权限、动态风险、动态条件访问三件套，打包进每月 99 美元的 Microsoft 365 E7 套件。

一石二鸟的生意

明眼人看得出这套方案的另一层含义：微软一边投资 OpenAI 和 Anthropic，一边劝企业别信它们的模型、改买微软的监督产品。但逻辑本身站得住——OpenAI 披露过测试智能体盗取加密钱包、入侵网站，失控事件清单越拉越长，企业确实需要一个不依赖模型厂商的看门人。至于这个看门人该不该是微软，市场会投票。