AI-agenter kan arbejde på en computer med adgang til brugerens filer, udviklingsværktøjer og tjenester. Microsofts seneste sikkerhedsoversigt sætter fokus på, hvordan virksomheder kan begrænse den adgang og få bedre overblik over de agenter, der findes på medarbejdernes enheder.

I novemberoversigten, offentliggjort den 5. november, fremhæver selskabet Microsoft Execution Containers, MXC, som et almindeligt tilgængeligt lag til afgrænsning af agenters arbejde. Oversigten omtaler også Defender-opdagelse af mere end 50 understøttede lokale agenter på Windows og macOS.

Det er forskellige funktioner. At opdage en agent giver sikkerhedsteamet et aktiv at undersøge. At begrænse dens adgang handler om at styre, hvilke handlinger den faktisk kan udføre. Beskyttelse mod ondsindede instruktioner under kørslen er endnu en særskilt del.

Regler skal håndhæves uden for modellen

Microsofts tekniske gennemgang af MXC beskriver en model, hvor udvikleren eller organisationen fastlægger, hvilke ressourcer en arbejdsopgave må bruge. Operativsystemets isolationsmekanismer skal håndhæve grænsen, så agenten ikke selv kan give sig flere rettigheder.

Reglerne kan omfatte filer, netværk, processer og brugergrænseflade. Der er flere former for afgrænsning med forskellige egenskaber: blandt andet procesbaseret isolation og på Windows en særskilt session. Det betyder, at navnet container ikke nødvendigvis betegner den samme tekniske sikkerhedsgrænse på alle platforme.

Et tænkt eksempel er en kodeagent, der skal ændre en hjemmeside. Den kan have brug for at skrive i projektets kode og læse oplysninger om udrulningen. Det er ikke automatisk det samme som, at den også skal have lov til at ændre produktionsserverens konfiguration eller læse private dokumenter på resten af computeren.

Formålet med en afgrænsning er at gøre den forskel håndgribelig. En instruktion om at være forsigtig fortæller agenten, hvad man ønsker. En håndhævet adgangsregel bestemmer, hvilke ressourcer processen kan nå, også når modellen eller et værktøj forsøger noget andet.

Plattformene giver forskellige muligheder

Den aktuelle MXC-dokumentation i Microsofts kodelager beskriver SDK'er til Rust, .NET og Node samt en fælles konfiguration. Programmet vælger en understøttet backend og starter arbejdsopgaven i den tilhørende container.

Windows, Linux og macOS har forskellige standardmekanismer. Dokumentationen markerer desuden visse backends som eksperimentelle. Derfor bør almindelig tilgængelighed for MXC som helhed ikke læses som et løfte om, at enhver kombination af platform, backend og sikkerhedskontrol er på samme udviklingsniveau.

Dokumentationen advarer også om en auditfunktion, som slår sandbox-sikkerheden fra for den analyserede arbejdsopgave og ikke må bruges til ukendt eller utroværdig kode. Det illustrerer, hvorfor navnet på en diagnosefunktion ikke i sig selv fortæller, om adgang bliver blokeret eller blot registreret.

Når en virksomhed afprøver en politik, er det afgørende at vide, om en ikke-tilladt handling bliver stoppet, eller om forsøget kun bliver skrevet i en rapport. De to situationer kan give lignende oplysninger til den, der læser rapporten, men har meget forskellige konsekvenser for den computer, som udfører arbejdet.

Defender giver et register med begrænsninger

I Microsoft Learns beskrivelse af lokal agentopdagelse står der, at Defender samler oplysninger om agenter, enheder, brugerkonti og konfigurerede MCP-servere. MCP er forbindelsen til værktøjer og datakilder, som kan udvide en agents muligheder.

Et fund i registeret er dog ikke bevis på, at en bruger har sendt en prompt eller fået adgang til en AI-tjeneste. Ved procesbaseret opdagelse kan en registrering opstå, når processen observeres. Visse oplysninger om installerede VS Code-udvidelser indsamles også, uden at selve udvidelsen skal være kørt.

Microsoft understreger derfor, at agentopdagelsen ikke er en fuldstændig liste over al installeret software. Oplysningerne giver sikkerhedsmæssig kontekst om det, Defender kan observere på tilsluttede enheder, og dækningen afhænger af agenttype og opsætning.

For en administrator betyder det, at et fund skal undersøges i sin sammenhæng. En installeret udvidelse, en startet proces og en gennemført handling er tre forskellige observationer. Et register kan hjælpe med at stille spørgsmålene, men bør ikke bruges til at slutte mere om en medarbejders aktivitet, end data faktisk viser.

Beskyttelse under kørslen er stadig preview

Defender-teamets særskilte meddelelse skelner mellem almindeligt tilgængelig opdagelse og runtime-beskyttelse til Windows, der fortsat beskrives som preview. Denne beskyttelse retter sig blandt andet mod prompt injection: instruktioner skjult i materiale, som agenten læser.

Microsoft beskriver både inspektion gennem agenternes egne hændelsesgrænseflader og inspektion af understøttede netværksforbindelser. Dækningen varierer mellem agenter og metoder. Audit-indstillingen registrerer fund og lader den understøttede handling fortsætte, mens Block kan standse handlingen.

Det er således ikke nok, at en agent vises i Defender, for at konkludere, at alle dens værktøjskald er beskyttet på samme måde. Den konkrete agent, beskyttelsesmetoden og den valgte politik skal passe sammen. Elektronika har ikke selv testet, hvor effektivt kontrollerne stopper angreb.

Flere integrationsløfter er endnu fremtid

Novemberoversigten beskriver kommende integration med Intune, Entra og Agent 365 som en udvidelse af styringen på tværs af virksomheden. Den omtaler også opgaveafgrænsede rettigheder og risikovurdering, men disse beskrivelser bør ikke blandes sammen med den konkrete status for hver lokal MXC-funktion.

For virksomheder er den praktiske opgave at forbinde tre slags viden: hvilke agenter der findes, hvilken adgang de har fået, og hvad sikkerhedskontrollerne faktisk håndhæver. Et overblik uden grænser kan efterlade for meget adgang. En snæver grænse uden forståelse for arbejdsopgaven kan omvendt gøre værktøjet ubrugeligt.

Microsofts seneste udmelding viser, at den lokale AI-agent i stigende grad behandles som software med selvstændige rettigheder og et selvstændigt behov for kontrol. Hvor godt det fungerer i en bestemt organisation, afhænger fortsat af integration, politikker og afprøvning af den konkrete arbejdsopgave.