微软自己，开始提防员工电脑里的AI了。

据IT之家10月20日报道，当地时间10月19日周一，微软发布了”守护智能体”（Guardian Agents）。这是一批专门盯着其他AI的AI，用来监控企业内部正在使用的各类智能体。它隶属微软今年6月推出的”感知项目”（Project Perception），这个项目里已经有红队、蓝队、绿队三类智能体，分别负责攻击测试、防守和日常巡检。

信号：连微软都把投资对象当”不可信员工”防

要知道，微软是OpenAI最大的投资方，跟Anthropic也有云业务合作。但这个月，纳德拉在个人博客里把话说得很直白：不能再信任AI模型供应商的安全承诺，企业要建立独立于AI实验室的监督系统，把智能能力的供给和管控权限分开。

微软安全负责人Hayete Gallot说得更重：前沿模型无论来自哪里，都无法完全信任，因为它的行为不可预测。

翻译成老板能听懂的话：AI再好用，在公司里也只能当一个”权限受控的新员工”，而且监督它的人不能是它自己的厂家。

配套动作已经落地。Microsoft Defender新增了智能体检测功能，最多能识别员工自行带入工作环境的60种智能体，包括Claude Code、Codex、OpenClaw这些技术岗常用的工具。识别之后可以做三件事：限制它能碰的数据和系统、按任务动态调整权限、高风险操作强制人工审批。

微软同时是英伟达”开放智能体安全平台”（Open Agent Safety Platform）的创始成员，目前已有100多家科技企业支持，核心机制是硬件隔离加异常终止开关，也就是kill switch，发现不对可以一键掐断。

老板版的4道权限闸

大厂的系统买不买得起是一回事，逻辑完全可以抄。下面4道闸，任何规模的企业都该建。

第一道：盘影子Agent。“影子IT”是老概念，现在变成了影子Agent。员工自己装了哪些AI工具、登录的是公司账号还是个人账号、这些工具碰过哪些数据，先摸一遍底。Defender那种自动盘点是技术手段，小公司用一张共享登记表也能先管起来。

第二道：最小权限。记住一个原则，能只读就不给写，能查通讯录就不给邮箱权限，能看单店数据就不给全库。Agent的权限是按”完成这个任务最少需要什么”来发，不是按”万一以后用得上”来开。

第三道：高风险动作人工审批。四类动作必须卡在人手里：对外发邮件、付款、删数据、对外发消息。Agent可以起草、可以跑流程，但最后那个”确认”按钮必须是人按。这条没有商量余地。

第四道：监控方和供应方分开。AI干了什么，日志要留在你自己这里，不能只听厂商后台报平安。纳德拉讲的”供给和管控分开”，落到中小企业身上就是这一条：用谁家的工具都行，操作记录你自己得留一份。

没预算买Defender？三个土办法够用

一是一张登记表。AI工具名称、谁在用、登的什么账号、能接触什么数据，一人一行，每月更新一次。

二是共享账号边界。公司统一注册一个工作账号给员工用AI，禁止用个人账号处理工作内容，离职时账号能收回，历史记录能查。

三是月度抽查。随机抽3到5个用AI的员工，让他们现场演示一遍平时怎么用，重点看有没有把客户名单、合同、报价单整段贴进对话框。一次抽查半小时，比买十套系统都管用。

一条红线：三类权限不给自主Agent

客户数据、财务、合同，这三类权限不要给任何可以自主行动的Agent。它可以在脱敏后的副本里做分析，可以起草初稿，但原始数据和最终确认权必须留在公司手里。

其实平台自己也在划这条线。我们之前写过，151款App拒绝了豆包Agent的直接操作，大家防的是同一件事；给Agent放权之前怎么设红线，Anthropic替用户谈判那篇里的3条选型红线也是同一个逻辑。AI干活的趋势挡不住，能挡住的是它”自己决定”干大事。

扫码添加企业微信客服

互动：你公司现在有几个人在用AI干活？都用的什么工具？评论区聊聊。

关注华企在线，持续分享AI智能体落地实战经验。