Ein KI-Agent mit Zugriff auf Unternehmenssysteme kann Daten ändern, Transaktionen genehmigen und Aktionen auslösen, ohne auf einen Mitarbeiter zu warten. Microsoft möchte, dass Sicherheitsteams diese Agenten wie interne Nutzer behandeln, deren Berechtigungen sich ändern können, wenn ihr Verhalten riskant wird.
Am 19. Oktober hat Microsoft Project Perception um drei Funktionen erweitert: Dynamische Berechtigungen, dynamische Risikobewertung von Agenten und dynamischer bedingter Zugriff. Das System soll den Zugriff von Agenten begrenzen, Risiken kontinuierlich neu bewerten und eingreifen, bevor unsichere Aktionen sensible Systeme erreichen.
Die Sorge geht über bösartige Agenten hinaus. Ein ansonsten legitimer Agent könnte manipulierten Anweisungen folgen, seine Aufgabe missverstehen oder eine Aktion versuchen, die sein Betreiber nie autorisiert hat.
So funktionieren Microsofts neue Kontrollen für KI-Agenten
Laut der Ankündigung von Microsoftwendet Project Perception nun Sicherheitskontrollen auf Agenten an, die bereits innerhalb von Organisationen arbeiten, und erweitert damit seinen bisherigen Fokus auf externe, KI-gesteuerte Bedrohungen.
Microsoft erweitert die Erkennung lokaler Agenten in Defender um 35 Typen und erhöht die Gesamtzahl damit auf 60. Dazu gehören Claude Code, OpenAI Codex und GitHub Copilot.
Microsoft Entra Agent ID stellt Identitäten bereit, die Agenten von den Mitarbeitern unterscheiden, die sie verwenden. So können Unternehmen Verantwortlichkeiten nachverfolgen und Zugriffsrichtlinien durchsetzen.
Die drei Kontrollen greifen ineinander:
- Dynamische Berechtigungen: Agenten starten ohne Zugriff oder mit minimalen Berechtigungen. Berechtigungen werden für bestimmte Aufgaben erteilt, laufen ab, sobald sie nicht mehr benötigt werden, und können für sensible Aktionen eine menschliche Genehmigung erfordern.
- Dynamische Risikobewertung von Agenten: Microsoft bewertet kontinuierlich Signale aus Identitäten, Endgeräten, Cloud-Diensten, Netzwerken, Daten und der Aktivität von Agenten, um Veränderungen des Risikos zu erkennen.
- Dynamischer bedingter Zugriff: Sicherheitsrichtlinien können Berechtigungen einschränken, Schreibvorgänge blockieren, eine Genehmigung verlangen, einen Agenten isolieren oder die Ausführung stoppen.
Microsoft Execution Container sorgt für Laufzeitisolation und beschränkt, auf welche Tools und Ressourcen ein Agent zugreifen kann.
Die Herausforderung bei Identitäten reicht über Microsoft hinaus. Auch das Security-Startup Neo entwickelt Kontrollen für Unternehmensidentitäten für autonome Anwendungen, die auf sensible Systeme zugreifen.
Project Perception ergänzt Playbooks und Guardian Agents, um veränderte Risiken zu untersuchen und Schutzmaßnahmen zu koordinieren. Microsoft betont, dass Administratoren die Kontrolle über Richtlinien und folgenschwere Entscheidungen behalten.
Der Ansatz ähnelt auch der Roadmap zur Sicherheit von KI-Agenten von Google DeepMind, die den Schwerpunkt auf Überwachung, Zugriffsbeschränkungen und Blockierungsmechanismen legt.
Was eWeek herausgefunden hat: Die Durchsetzung muss noch bewiesen werden
Microsoft hat eine umfassende Sicherheitsarchitektur beschrieben, doch aus der Ankündigung geht nicht hervor, dass jede neue Kontrolle für den allgemeinen Produktiveinsatz verfügbar ist.
Project Perception befindet sich in einer begrenzten öffentlichen Vorschau, der Zugriff ist auf ausgewählte Kunden beschränkt. Microsoft nennt für das umfassendere Produkt eine nutzungsabhängige Preisgestaltung, doch die Ankündigung vom 19. Oktober enthält keinen Zeitplan für die Einführung der einzelnen Funktionen.
Diese Unterscheidung wirkt sich auf die Planung in Unternehmen aus. Einen Agenten zu erkennen, ihm eine Identität zuzuweisen und seine Aktionen zu stoppen, sind voneinander getrennte technische Anforderungen.
Microsoft hat keine unabhängigen Leistungsdaten zu Guardian Agents veröffentlicht, darunter Raten von Fehlalarmen, die Geschwindigkeit der Eindämmung oder die Zahl der Drittanbieterumgebungen, in denen die Durchsetzung durchgängig funktioniert.
Das Unternehmen plant außerdem, Signale auf Modellebene, einschließlich Informationen zum Schlussfolgern, in die dynamische Risikobewertung von Agenten einzubeziehen. In der Ankündigung wird nicht erläutert, welche Modelle diese Transparenz unterstützen oder wie die Informationen aufbewahrt und überprüft werden.
Frühere Fälle von KI-Fehlausrichtungveranschaulichen das Problem, dem diese Kontrollen begegnen sollen. OpenAI hat Vorfälle offengelegt, bei denen nicht autorisierte Anmeldedaten verwendet, öffentliche Dateien hochgeladen und Informationen von Agenten über unbeabsichtigte Kanäle ausgetauscht wurden.
Für Unternehmen, die Project Perception prüfen, verdienen drei Fragen besondere Aufmerksamkeit: Welche Agenten können erkannt werden, wo lassen sich Berechtigungen tatsächlich durchsetzen, und ob können unsichere Aktionen gestoppt werden, bevor sie sensible Systeme erreichen.
Microsoft hat dargelegt, wie diese Schutzmaßnahmen zusammenspielen sollen. Es sind jedoch weitere Belege aus dem breiteren Einsatz erforderlich, um ihre Wirksamkeit über verschiedene Agentenplattformen hinweg zu bestätigen.
Auch lesenswert: Unsere Berichterstattung über OpenAIs Ausbruch aus der Sandbox untersucht, wie autonome Modelle während einer Cyber-Sicherheitsprüfung Sicherheitsgrenzen überschritten haben.