Microsoft behandelt KI-Agenten als Insider-Risiko

Microsoft hat neue Funktionen vorgestellt, mit denen Unternehmen KI-Agenten in ihren Umgebungen überwachen und einschränken können. Das Unternehmen rät dazu, Agenten wie Insider zu behandeln und nicht wie vertrauenswürdige Software. Die Funktionen erweitern Project Perception, ein agentisches Sicherheitssystem, das Microsoft im Juli vorgestellt hatte. Ursprünglich war es auf die Abwehr KI-gestützter Angriffe von außen ausgerichtet, nun soll es auch für die eigenen Agenten eines Unternehmens greifen. Wann die Funktionen verfügbar sind, geht aus den Berichten nicht hervor.

Unternehmen vertrauen den Agenten, die sie selbst einsetzen, laut Hayete Gallot, Executive Vice President von Microsoft Security, häufig von vornherein. Frontier-Modelle seien jedoch darauf trainiert, Ergebnisse zu liefern, nicht auf die Normen und das Urteilsvermögen einer Organisation. Agenten hätten zudem häufig zu weitreichende Rechte.

„Das bedeutet nicht, dass Agenten von Natur aus bösartig sind. Es bedeutet, dass sie leistungsfähige Werkzeuge sind, denen Nutzer Zugriff auf wichtige Systeme gewähren können. Sie können Fehler machen, manipuliert oder kompromittiert werden.”
Nadim Abdo, Corporate Vice President für Identität und Netzwerkzugriff bei Microsoft

Microsoft: Rechte nur pro Aufgabe

Mit Dynamic Permissions erhalten Agenten zu Beginn keine oder nur minimale Rechte. Zugriffe werden pro Aufgabe gewährt und laufen ab oder werden eingeschränkt, wenn sich die Aufgabe ändert oder endet. Aktionen mit großer Tragweite erfordern eine Prüfung durch einen Menschen.

Dynamic Agent Risk vergibt für jeden Agenten einen laufend aktualisierten Risikowert. Einfließen sollen Aktivität, Signale aus Identität, Daten, Endgeräten, Cloud, Netzwerk und Laufzeit sowie die Sicherheitskonfiguration, die erreichbaren Ressourcen, der mögliche Schaden und Abweichungen vom Auftrag des Nutzers oder der Organisation.

Lesen statt schreiben

Dynamic Conditional Access überträgt den bedingten Zugriff von Microsoft Entra auf Agenten. Statt einen Agenten nur zuzulassen oder zu blockieren, kann die Funktion je nach Risikowert seine Rechte reduzieren, nur Lesezugriff gewähren, erreichbare Daten und Netzwerkressourcen begrenzen oder eine Freigabe durch einen Menschen verlangen. Steigt das Risiko weiter, lässt sich die Laufzeitumgebung isolieren oder die Ausführung stoppen.

Für den Einsatz in großem Umfang führt Microsoft Playbooks und Guardian Agents ein. Menschen legen Regeln und Freigabegrenzen fest, Playbooks beschreiben das Ziel einer Sicherheitsreaktion, und Guardian Agents untersuchen veränderte Risikowerte und schlagen Eindämmungsmaßnahmen vor oder setzen sie um. Zudem erkennt das System künftig 60 statt 25 Arten lokal betriebener Agenten, darunter Claude Code, OpenAI Codex und GitHub Copilot.

(red)