Microsoft hat eine Reihe neuer Sicherheitskontrollen vorgestellt, die darauf ausgelegt sind, „KI-Agenten“ (AI Agents) in Unternehmensarbeitsumgebungen zu überwachen und einzuschränken. Das Unternehmen verfolgt dabei eine neue Sicherheitsphilosophie, bei der diese Agenten wie potenzielle „interne Parteien“ (Insiders) behandelt werden, anstatt sie von vornherein als vertrauenswürdige Software anzusehen.
Dieser Schritt ist eine Erweiterung des „Project Perception“, eines Sicherheitssystems für Agenten, das Microsoft im vergangenen Juli vorgestellt hatte. Während der ursprüngliche Fokus des Projekts auf der Abwehr externer, durch KI unterstützter Angriffe lag, richtet es seine Werkzeuge nun auf Agenten, die von Unternehmen intern verwaltet werden, um sicherzustellen, dass diese nicht außer Kontrolle geraten oder missbraucht werden.
Ein drastischer Wandel im Vertrauenskonzept gegenüber KI
Hayit Galut, Executive Vice President of Security bei Microsoft, erklärte, dass Unternehmen dazu neigen, den von ihnen eingesetzten Agenten automatisch zu vertrauen. Sie warnte davor, dass Frontier-Modelle (Frontier Models) zwar darauf trainiert seien, Ergebnisse zu erzielen, aber nicht nach organisatorischen Normen oder menschlichen Maßstäben für Governance aufgebaut seien. Galut wies darauf hin, dass diese Agenten oft übermäßige Berechtigungen und Zugriff auf sensible Daten, Tools und Systeme besitzen, was es ihnen ermöglicht, Entscheidungen in kritischen Prozessen zu treffen, die bei fehlender Überwachung zu Katastrophen führen können.
Nadeem Abdo, Vice President for Identity and Network Access des Unternehmens, betonte seinerseits, dass die Einstufung von Agenten als „interne Parteien“ nicht zwangsläufig bedeutet, dass sie bösartig sind. Vielmehr bedeutet dies, dass es sich um leistungsstarke Werkzeuge handelt, denen ein umfassender Zugriff gewährt werden kann und die anfällig für Fehler, Manipulationen oder Kompromittierungen durch externe Akteure sind.
Verteidigungsmechanismen: Dynamische Berechtigungen und Risikobewertung
Die neuen Updates beinhalten das Feature „Dynamische Berechtigungen“ (Dynamic Permissions), das Agenten zu Beginn minimale oder gar keine Berechtigungen gewährt. Der Zugriff wird für jede Aufgabe individuell vergeben und erlischt sofort nach Abschluss der Aufgabe oder bei einer Änderung derselben. Aktionen mit hoher Auswirkung erfordern vor ihrer Ausführung eine direkte menschliche Überprüfung.
Zudem hat Microsoft das System „Dynamisches Agentenrisiko“ (Dynamic Agent Risk) eingeführt, das jedem Agenten einen Risikowert zuweist, der basierend auf seiner Aktivität sowie Identitäts-, Daten- und Netzwerksignalen kontinuierlich aktualisiert wird. Diese Metrik berücksichtigt mehrere Faktoren, darunter:
- Die Sicherheitseinstellungen des Agenten und die Ressourcen, auf die er zugreifen kann.
- Das Ausmaß des potenziellen Schadens im Falle eines Fehlers.
- Das Ausmaß, in dem der Agent von den durch den Benutzer oder das Unternehmen festgelegten Zielen abweicht.
Bedingte Steuerung und „Wächter-Agenten“
Um die automatisierte Reaktion zu stärken, hat das Unternehmen die Funktion des „dynamischen bedingten Zugriffs“ eingeführt, die es ermöglicht, die Berechtigungen eines Agenten sofort zu reduzieren, sobald sein Risikowert steigt – etwa durch Herabstufung von „Lesen und Schreiben“ auf „Nur Lesen“ oder durch vollständige Isolierung vom Netzwerk, falls erforderlich.
Zur Verwaltung dieser Prozesse in großem Maßstab hat Microsoft sogenannte „Wächter-Agenten“ (Guardian Agents) vorgestellt. Hierbei handelt es sich um sicherheitsspezifische KI-Agenten, die unter menschlicher Aufsicht arbeiten, um Schutzregeln durchzusetzen, die Ursachen für veränderte Risikostufen zu untersuchen und notwendige Eindämmungsmaßnahmen vorzuschlagen.
Was ändert sich praktisch für Unternehmen?
Diese Entwicklung bedeutet, dass Unternehmen nicht länger nur menschliche Mitarbeiter überwachen, sondern eine „digitale Belegschaft“ verwalten werden, die denselben strengen Kontrollstandards unterliegt. Microsoft hat den Erkennungsumfang auf 35 zusätzliche Arten von lokalen Agenten ausgeweitet, womit sich die Gesamtzahl der unterstützten Typen auf 60 erhöht, einschließlich beliebter Tools wie (Claude Code), (OpenAI Codex) und (GitHub Copilot). Dieses System setzt der Ära der „Agenten mit uneingeschränkten Berechtigungen“ ein Ende und erzwingt eine Arbeitsumgebung, die auf dem Prinzip der „ständigen Überprüfung“ (Zero Trust) beruht, selbst gegenüber den intelligenten Tools, die das Unternehmen selbst entwickelt.