Microsoft zet de beveiligingsaanpak voor rogue AI-agenten stevig neer. In plaats van deze agenten te behandelen als “vertrouwde software”, wil het bedrijf organisaties helpen ze te zien als insiders: krachtige tooling die te veel rechten kan krijgen, kan afwijken van bedoeling en mogelijk misleid of gecompromitteerd kan worden.
De maatregelen bouwen voort op Project Perception, een agentic security-systeem dat Microsoft eerder lanceerde. Waar de focus eerst lag op verdediging tegen AI-gedreven aanvallen van buitenaf, verschuift de toepassing nu nadrukkelijk naar de agenten die bedrijven intern inzetten.
Waarom Microsoft rogue AI-agenten als insiders benadert
Het uitgangspunt is dat teams agenten doorgaans “gewoon laten werken” met standaardtoegang. Microsoft waarschuwt dat dit in de praktijk kan leiden tot overprivileges: agenten krijgen toegang tot data, tools en systemen, en kunnen vervolgens handelen in processen met een hoog effect.
Volgens Microsoft betekent het “insider”-etiket niet automatisch dat de agent kwaadaardig is. Het gaat om een realistisch beveiligingsrisico: agenten kunnen fouten maken, worden beïnvloed door hun omgeving of commando’s, en kunnen ook zelf doelwit worden of gecompromitteerd raken.
Dynamic Permissions: toegang pas geven als het nodig is
Een van de kernfeatures is Dynamic Permissions. In het begin krijgt een agent geen rechten of slechts de meest minimale toegang. Daarna wordt per taak bepaald wat nodig is—met als belangrijk uitgangspunt: toegang is tijdgebonden.
Wanneer een taak verandert of stopt, moeten de rechten mee veranderen. Bovendien benadrukt Microsoft dat acties met een hoog impactniveau menselijke beoordeling vereisen. Daarmee wordt het idee doorbroken dat agenten continu “alles mogen”.
Dit sluit aan op een bredere security-principes: minder permissies vooraf, gerichter toestemming later, en extra controle bij risicovolle stappen.
Dynamic Agent Risk: continu een risicoscore voor elke agent
Naast dynamische permissies introduceert Microsoft Dynamic Agent Risk. Elke agent krijgt daarbij een risicoscore die continu wordt geactualiseerd op basis van meerdere signalen.
Die signalen komen niet uit één hoek, maar uit verschillende domeinen: de activiteit van de agent, identiteits- en toegangsgerelateerde data, endpoint- en cloudsignalen, netwerkinformatie en runtime-gedrag. Ook weegt Microsoft mee hoe de beveiligingsconfiguratie is ingericht, welke resources een agent kan bereiken en welke schade mogelijk is als er iets misgaat.
Daarnaast speelt “afwijking van bedoeling” mee: of de agent nog beweegt binnen wat de gebruiker of organisatie eigenlijk had voorzien.
Dynamic Conditional Access: automatisch bijsturen op basis van risico
Met Dynamic Conditional Access koppelt Microsoft de risicoscores aan toegangsbeleid. In plaats van simpelweg “toestaan” of “blokkeren”, kan Conditional Access worden gebruikt om permissies te schalen.
Concreet kan het systeem bijvoorbeeld:
- toegang terugschalen als het risico stijgt
- agenten iets laten lezen, maar niet schrijven
- het bereik van data en netwerkresources beperken
- voor ingrijpende acties een menselijke goedkeuring eisen
- bij een voldoende hoog risico runtime isoleren of uitvoering stoppen
Het voordeel hiervan is dat beveiliging niet alleen reactief is (na incidenten), maar ook sturend tijdens de uitvoering.
Playbooks en Guardian Agents: regels, doelen en containment
Om dit op schaal mogelijk te maken, introduceert Microsoft Playbooks. Humans stellen daarbij de regels en de grenzen voor goedkeuring vast. De playbooks beschrijven vervolgens welk securitydoel de respons moet bereiken—bijvoorbeeld containment, beperking van lateraal verkeer of het beperken van welke acties nog uitgevoerd mogen worden.
Daarbovenop werkt Microsoft met een team Guardian Agents. Die moeten de playbooks daadwerkelijk uitvoeren. Ze kijken daarbij naar “waarom” de risicoscore is verschoven en kunnen containment adviseren of afdwingen.
Deze combinatie—menselijke beleidsvorming plus geautomatiseerde uitvoering—moet helpen om sneller te reageren zonder dat elke stap handmatig beoordeeld hoeft te worden.
Discovery uitbreiden: meer typen lokale AI-agenten
Microsoft breidt de discovery-mogelijkheden uit naar extra typen lokale agenten. Het bedrijf noemt een totaal van 60 ondersteunde types, waaronder onder andere Claude Code, OpenAI Codex en GitHub Copilot.
Voor organisaties is dat relevant omdat veel enterprise-inzet van AI-agenten niet in één uniform platform gebeurt. Hoe meer agenttypen je kunt detecteren en onder één securitylaag kunt brengen, hoe consistenter je governance.
Wat dit betekent voor je beleid rond AI-agenten
De boodschap van Microsoft is duidelijk: behandel AI-agenten niet automatisch als “legitiem en onschadelijk”. Richt in plaats daarvan een model in waarin rechten dynamisch worden toegekend, risicogedrag zichtbaar is en kritieke acties menselijke controle vereisen.
Praktisch vertaalt dit zich vaak naar drie stappen:
- Rechten minimaliseren bij start en per taak toestaan
- Continu signaleren of de agent nog handelt zoals verwacht
- Escalatie en containment inbouwen als risico oploopt
Wil je breder kader zien van hoe bedreigingen rond accounts en toegang zich in enterprise-context manifesteren? Lees dan ook eens het artikel over gecompromitteerde toegang bij Nikkei, dat laat zien hoe snel schaalproblemen kunnen ontstaan wanneer toegang niet goed is afgeschermd.
Gerelateerd: waarom “vertrouwen op basis van identiteit” alleen niet genoeg is
Ook als identiteitscontrole op orde is, kunnen risico’s ontstaan door gedrag, permissies en de context waarin tooling draait. Daarom is het interessant om te kijken naar incidenten waarbij systemen of software-omgevingen indirect gecompromitteerd raken. Een voorbeeld van de bredere gedachte (security niet blind op software vertrouwen) vind je in gecompromitteerde OVHcloud CLI releases: wat nu?.
Hetzelfde mechanisme—vertrouwen dat later onterecht blijkt—komt terug in de benadering van rogue AI-agenten: geef alleen toegang die past bij de taak, en stop of beperk actie zodra gedrag afwijkt.
Conclusie: minder overprivileges, meer controle op dynamisch risico
Microsoft bouwt aan een veiligheidslaag die speciaal is ontworpen om de interne inzet van AI-agenten veiliger te maken. Met Dynamic Permissions, Dynamic Agent Risk en Dynamic Conditional Access probeert het bedrijf overprivileges en riskante acties te beperken zodra een agent buiten de normale lijn beweegt.
Voor organisaties betekent dit: governance rond AI-agenten wordt steeds minder een eenmalige toestemming en steeds meer een continu proces, met risicosignalen en containment als onderdeel van het ontwerp.
2 reacties