Microsoft beoordeelt agentrisico en begrenst agentacties

Project Perception krijgt dynamische risicoscores voor AI-agents en kan hun rechten aanpassen, schrijfacties blokkeren of menselijke goedkeuring vragen wanneer de agent van zijn taak afwijkt, meldt Microsoft.

Als een agent in CRM, inkoop of financiën mag schrijven, kan afwijkend gedrag die bevoegdheid verkleinen. Lezen kan doorgaan terwijl een betaling, wijziging of extern bericht op een mens wacht. Zo verschuift controle naar het moment waarop de agent handelt, naast de toegangsrechten die hij bij de start meekrijgt.

De score beweegt mee met de taak

Dynamic Agent Risk is geen eenmalig label. Microsoft zegt dat de beoordeling tijdens het werk signalen uit identiteit, data, apparaten, cloud, netwerk, de omgeving waarin de agent draait en agentgedrag combineert. De score weegt de configuratie, het bereik, de mogelijke impact en afwijking van de taak.

Microsoft wil ook modelniveau-informatie, waaronder signalen over redenering, gebruiken om invloed van onbetrouwbare input te herkennen. De handhaving blijft volgens het bedrijf buiten het model, zodat een agent zijn eigen rechten niet bepaalt.

Het register telt zestig lokale agenttypen

Microsoft breidt uit welke lokale agents het kan herkennen: 35 typen erbij, tot 60 in totaal. Daartussen zitten Claude Code, OpenAI Codex en GitHub Copilot. Het register maakt agents zichtbaar en koppelt ze aan eigenaar en activiteit. Microsoft zegt nog niet welke controles elk type krijgt.

Microsofts Work Trend Index meldt vijftienvoudige jaar-op-jaar groei van unieke actieve agents in Copilot Agents en SharePoint, gemeten in een rollend venster van 28 dagen, achttienvoudig bij grote bedrijven. Dit is geen telling van alle agents bij alle bedrijven. Die groei sloot aan op Microsofts eerdere telling van 40.093 Copilot Studio-agents uit bijna 2.000 tenants.

Rechten veranderen als het risico oploopt

Dynamic Conditional Access breidt Microsoft Entra Conditional Access uit naar agents. Beleid kan leesrechten behouden en schrijven blokkeren, data en bereikbare systemen beperken, netwerkpaden sluiten of tijdelijke toegang intrekken. Voor een ingrijpende stap kan het eerst menselijke goedkeuring vragen. Bij hoog risico kan het de omgeving waarin de agent draait isoleren of de uitvoering stoppen.

Dynamic Permissions begrenst rechten per taak en tijdsduur. Nieuwe Playbooks en Guardian Agents onderzoeken waarom het risico veranderde, verzamelen bewijs en stellen een inperking voor of voeren die uit. Mensen bepalen de beleidsgrenzen, goedkeuringsregels en bevoegdheden van die beveiligingsagents.

In juli ging de berichtgeving over Project Perception nog over een beoogd goedkoper alternatief voor Mythos dat softwarelekken zou vinden en dichten. Microsoft noemde kwetsbaarheidsbeheer de eerste toepassing van Project Perception en plande een publieke preview vanaf 3 augustus. De uitbreiding verlegt Project Perception van het opsporen van softwarelekken naar het begrenzen van agents die bedrijfsdata en hulpmiddelen gebruiken.

GeekWire meldt dat de functies bij Microsoft 365 E7 en Project Perception horen. De Amerikaanse E7-prijspagina vermeldt 99 dollar per gebruiker per maand voor de versie met Teams, bij jaarlijkse betaling. Voor 100 gebruikers komt dat neer op 118.800 dollar per jaar. Dit is de prijs van de hele bundel, niet alleen van de nieuwe agentcontroles; Microsoft zegt dat contractprijzen kunnen afwijken.

Google bouwt een andere controlelaag

Microsoft is niet de enige die toegangsbeleid naar het moment van een agentactie verplaatst. Google Cloud beschrijft Agent Gateway als een programmeerbare laag voor verkeer tussen gebruikers, agents en hulpmiddelen. Externe beveiligingsdiensten kunnen daar verzoeken en gereedschapsaanroepen controleren, terwijl Okta identiteits- en toegangsbesluiten kan leveren. Google positioneert die aanpak als een keuzelaag rond bestaande aanbieders. Project Perception koppelt een eigen risicoscore aan wisselende rechten en ingrijpen tijdens de uitvoering.

Op 16 oktober publiceerden NIST, NSA en CISA tien vrijwillige incidentpraktijken voor frontier-AI-training en -evaluatie. De richtlijn verdeelt incidentbeheer in vijf fasen, van voorbereiding tot rapportage. Deze Amerikaanse praktijken richten zich op modeltests, niet op elk bedrijfsproces met agents. Ze plaatsen bewaking, inperking en herstel naast de productontwikkeling van agentcontroles.

De drempels blijven nog buiten beeld

Microsoft beschrijft signalen en ingrepen, maar publiceert de weging van signalen en de risicodrempels niet. Ook ontbreken gepubliceerde meetresultaten over foutieve blokkades of onafhankelijke tests. Per agenttype staat niet welke controles beschikbaar zijn.

GeekWire meldt dat de functies in private preview zitten en dat bredere beschikbaarheid bij Ignite is gepland. Microsoft geeft geen uitrolkalender voor Nederland of de EU. De openbare documentatie laat dus nog niet zien of elke ondersteunde agent dezelfde bescherming krijgt.

Project Perception combineert nu een eigen identiteit, een veranderende risicobeoordeling en beleid dat rechten tijdens een taak kan aanpassen. Guardian Agents doen volgens Microsoft het doorlopende onderzoek; mensen bepalen de doelen en goedkeuringsgrenzen. De open vragen zijn welke drempel rechten verandert, hoeveel agenttypen dezelfde controle krijgen en wanneer organisaties in Nederland dit kunnen testen. Tot die details beschikbaar zijn, beschrijft Microsoft het ontwerp van de controles, niet hun bewezen werking op brede schaal.