微软说：你花大价钱买的 AI 助手，其实是个“内部威胁”

昨晚临睡前刷到微软那篇《Securing the agentic insider》，标题先把我钉住了。它没有说“AI 有风险”这种车轱辘话，而是把企业自己部署的 AI 助手，直接定义成了“内部威胁”。我盯着这四个字想了一会儿，越想越觉得它比任何安全发布会都诚实——我们花了大价钱把 AI 请进公司，给它开邮箱、接系统、授权它替我们点按钮，结果它既是帮手，也是那个你最该防的账号。

微软这周端出来的，是叫 Guardian Agents 的一套东西，红队负责攻击、蓝队负责侦测、绿队负责修复，三色智能体各管一段。它不是一个“过滤器”，而是把纳德拉这个月写在博客里那句话落了地：停止信任 AI 模型供应商。哪怕厂商把安全承诺写得再漂亮，企业也得自己建一套独立监督系统，不能把“agent 代我办事”的责任外包出去。安全边界这次从“管模型说什么”挪到了“用确定性控制，把不确定的智能包起来”。

这事儿最该被记住的，不是微软又发了个产品，而是“内部威胁”这个老词第一次被安到了 AI 头上。过去我们谈 AI 安全，画面是“坏人用 prompt 骗模型说错话”；现在微软说的是，你自己的 agent 可能因为一个你没看清的授权，就变成了公司里最危险的那个人——它有权限、有记忆、会重试、还能调工具。外部的坏人你还能装防火墙，自己请来的“员工”你往往连它的操作日志都没认真看过。

光是定义还不够吓人，同一周真有人把这句话演成了事故。The Verge 报道，二十多个暴露在网上、没设防的开源 agent 编排器 Cairn 实例，被攻击者顺手调成了一支 agent 舰队，两天里撂倒了美加澳日一百多个网站，连 John Deere、SharkNinja、Cummins 这种大牌子都点名了，单次得手大概要二十三个钟头，几乎不用人盯着。报道里有一句我特别想划线：出问题的不是模型学坏了，是“人给定的恶意目标，被一个会重试、能调工具的 agent 放大了”。这不就是微软说的“内部威胁”活体版吗——工具没叛变，是被人塞了个坏目标，它比人更能熬、更肯试。

“内部威胁”这四个字，微软用得一点不夸张

把它翻译成大白话：你部署的那个能替你发邮件、填表单、调接口的 agent，跟公司里一个新来的、有工牌、能碰核心系统的员工，在风险上已经没区别了。差别只在于，员工上岗要背调、要培训、要有人盯，agent 上岗常常是“连个 OAuth 就完事了”。我们给它的信任，远远跑在了对它的管理前面。

三色防护听着玄，落到你我就三件事

红队蓝队绿队听着像大片里的作战室，但对用 AI 的普通人，微软这套思路拆开就三件事：最小权限、敏感动作人工审批、留痕。最小权限是说，别一上来就把全家桶给它，能只读就别给写，能碰测试环境就别碰生产；敏感动作人工审批是说，凡是动钱、发对外消息、删数据这种，必须你点一下才放行；留痕是说，它干了啥你随时能翻出来看。这三件没有一件需要你是安全专家，但它们恰恰是绝大多数人开通 AI 助手时从没设过的。

所以我觉得微软这篇最值钱的，不是又多了个安全产品，而是把“管 agent”这件事，从“厂商的承诺”拉回到了“部署方自己的功课”。它提醒的是：你请来的数字员工，得照着真员工的标准管。可现实里有个反差挺有意思——我们给真人实习生都会配个带教的，给一个能碰公司系统的 AI，反而常常是“连个 OAuth 就放它上岗了”。你觉得自己给 AI 开的那些权限里，有没有哪一处是“当时图省事、现在想想有点后怕”的？

正打算给团队统一上 AI 助手的朋友，把这篇转给负责拍板的那个人，先想清楚“它能自己动手到什么程度”再开工。你给 AI 开过哪些“能自己办事”的权限？评论区聊聊，我挺好奇大家有没有认真复盘过。我这个号就爱拆 AI 背后这些“看着省事、实则埋雷”的实操坑，关注一下，下次接着聊。