Microsoft ha annunciato nuove funzionalità di sicurezza per Project Perception e Microsoft 365 E7, introducendo un sistema di supervisione degli agenti di intelligenza artificiale aziendali basato su Guardian Agents, identità dedicate, valutazione continua del rischio e autorizzazioni dinamiche. L’aggiornamento affronta una specifica categoria di esposizione informatica legata agli agenti che operano all’interno delle organizzazioni e dispongono di accesso a documenti, applicazioni, servizi cloud, strumenti di sviluppo e altri sistemi automatizzati. Microsoft definisce questi componenti agentic insiders, poiché possono essere considerati soggetti operativi interni pur non essendo utenti umani. Un agente autorizzato a svolgere una determinata attività potrebbe infatti commettere errori, utilizzare risorse non necessarie, essere compromesso oppure modificare il proprio comportamento dopo aver elaborato istruzioni malevole contenute in documenti e informazioni esterne. Project Perception, presentato nel luglio 2026 come sistema di difesa contro attacchi informatici basati sull’intelligenza artificiale mediante squadre di agenti rossi, blu e verdi, viene quindi ampliato per controllare anche le attività degli agenti aziendali. Il sistema condivide segnali di sicurezza, informazioni contestuali e un registro unificato con Microsoft Agent 365, permettendo ai responsabili IT e della sicurezza di ricostruire la presenza, le autorizzazioni e i comportamenti degli agenti.
La nuova architettura estende inizialmente le capacità di individuazione automatica, aggiungendo il riconoscimento di 35 ulteriori tipologie di agenti locali e portando a 60 il numero complessivo delle categorie supportate. Tra gli ambienti identificabili figurano Claude Code, OpenAI Codex e GitHub Copilot. Gli agenti individuati possono essere inseriti in un registro aziendale anche quando non erano stati originariamente configurati attraverso gli strumenti di sicurezza Microsoft. Per gestire questi casi viene ampliato Microsoft Entra Agent ID, che assegna identità specifiche anche agli agenti locali e a quelli precedentemente sconosciuti, individuati mediante sensori di sicurezza. L’identità consente di associare le operazioni a un soggetto preciso, ricostruendone proprietario, autorizzazioni, ciclo di vita, ambito operativo e livello di rischio, con una distinzione tra le azioni effettuate direttamente da una persona e quelle eseguite da un agente per suo conto. Il contenimento delle attività si avvale inoltre di ambienti isolati come Microsoft Execution Container, o MXC, nei quali gli agenti possono accedere esclusivamente alle risorse autorizzate per il compito assegnato. I controlli di sicurezza sono collocati al di fuori del perimetro modificabile dall’agente stesso, per ridurre la possibilità che una compromissione del modello o dell’ambiente di orchestrazione permetta di disabilitare le protezioni. Lo stesso principio viene applicato alle chiamate verso API, strumenti, server Model Context Protocol, risorse di rete e altri agenti.
Microsoft introduce anche Dynamic Permissions, un meccanismo nel quale l’agente parte senza autorizzazioni operative e riceve progressivamente soltanto i privilegi necessari allo svolgimento di attività specifiche, con validità limitata nel tempo. Le policy organizzative definiscono i confini entro i quali queste autorizzazioni possono essere concesse e impediscono, per esempio, che un agente ottenga diritti superiori a quelli posseduti dall’utente che ne ha richiesto l’intervento. Le azioni di maggiore impatto possono essere subordinate a un’approvazione umana verificabile. Il controllo delle autorizzazioni viene collegato a Dynamic Agent Risk, un sistema che aggrega segnali provenienti dall’identità dell’agente, dalle operazioni eseguite, dalle risorse raggiungibili e dagli ambienti endpoint, cloud, rete e runtime. La valutazione considera sia le caratteristiche della configurazione sia le possibili conseguenze di un comportamento non corretto, aggiornando il livello di rischio mentre l’agente lavora. Microsoft prevede inoltre di utilizzare segnali del modello, compresi quelli relativi al ragionamento e alla pianificazione, per individuare eventuali divergenze tra l’obiettivo assegnato e le azioni programmate, mantenendo però l’applicazione delle regole di sicurezza indipendente dal modello controllato.
La risposta operativa viene affidata a Dynamic Conditional Access, che estende le funzionalità di Microsoft Entra Conditional Access agli agenti e permette di modificare dinamicamente le autorizzazioni in base al rischio rilevato. Un agente può continuare a consultare determinate informazioni mentre perde la possibilità di modificarle, vedere ridotto il numero delle risorse raggiungibili, subire restrizioni di rete oppure ricevere una revoca anticipata dei privilegi temporanei. Nei casi più critici, il sistema può isolare l’ambiente di esecuzione o interrompere completamente l’attività. Microsoft ha descritto il caso di un agente incaricato di approvare note spese che incontri un tentativo di prompt injection all’interno di un documento esterno: il rilevamento della manipolazione determina l’aumento del livello di rischio e può comportare la sospensione delle autorizzazioni di scrittura e approvazione, conservando eventualmente il solo accesso in lettura. Le operazioni finanziarie successive possono richiedere una conferma umana verificabile crittograficamente. A coordinare queste misure intervengono i Playbooks, nei quali vengono definiti risultati di sicurezza, procedure e limiti di delega, mentre i Guardian Agents eseguono le attività di supervisione e protezione alla velocità dei sistemi automatizzati.
Le funzionalità si inseriscono nell’ecosistema Microsoft 365 E7, commercializzato come Frontier Suite e generalmente disponibile dal 1° maggio 2026 a un prezzo di listino di 99 dollari per utente al mese. Il pacchetto comprende Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite e Microsoft 365 E5 con componenti avanzati di Defender, Entra, Intune e Purview. Microsoft Agent 365, disponibile anche separatamente al prezzo di 15 dollari per utente al mese, costituisce il livello di controllo per osservare, governare e proteggere gli agenti utilizzati nelle organizzazioni. Microsoft ha dichiarato di utilizzare internamente centinaia di migliaia di agenti, facendo confluire le osservazioni raccolte nella progettazione delle nuove funzionalità. L’estensione di Project Perception introduce così un modello operativo nel quale gli agenti non ricevono fiducia permanente in ragione della loro appartenenza all’ambiente aziendale, ma devono operare entro autorizzazioni verificabili, continuamente adattate alle attività assegnate e ai rischi effettivamente rilevati.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)