home / notes / Microsoft Guardian Agents：不信任模型的論述，也必須約束監控者
Note
Microsoft Guardian Agents：不信任模型的論述，也必須約束監控者
企業應把信任放在可稽核、可撤權、能獨立驗證的控制機制，而 Microsoft 對模型的不信任，也必須約束它自己的 agents 與監控產品。我的判斷是，Guardian Agents 值得關注的地方，在於它把企業安全的信任重心移向監控層。若這一層仍只能靠供應商自我保證，企業只是換了一個信任對象。
Guardian Agents 把企業自己的 agents 納入防護範圍
據 TechCrunch 報導，Microsoft 於 2026 年 10 月 19 日推出新的企業安全功能，其中 Guardian Agents 隸屬於 Project Perception，設計用途是監控企業自己使用的 AI agents。報導指出，Project Perception 原先著重外部 AI 攻擊，這次把防護範圍延伸到企業內部部署的 agents。
這個轉向的重要性，在於部署決策不能直接當成信任依據。企業選購、設定並付費使用某個 agent，並不代表它每次行動都符合組織要求。我認為，把內部 agent 納入持續監控是合理方向；但供應商若同時提供執行工作與監控工作的產品，就必須說明兩者如何互相制衡。
Microsoft 的風險理由，沒有自家產品的例外
Microsoft 官方文章〈Securing the agentic insider〉主張，前沿模型無論來源都不可信任，原因並非模型本身帶有惡意。官方把問題指向達成結果的訓練目標、reward hacking，以及模型未針對組織規範或判斷最佳化。這是在質疑模型能否可靠地遵守企業要求，不能直接解讀成所有模型都會蓄意作惡。
先看 reward hacking：如果 agent 為了達標而鑽評分機制的漏洞，產品掛上 Copilot 名稱也不會在邏輯上消除風險。同樣地，假設 Guardian Agents 以某種偵測績效為目標，它也可能偏向提高表面成績，而沒有改善實際安全。後者是需要驗證的失效假設，目前不能當成 Guardian Agents 的已知行為。
再看組織規範。能完成任務，與能理解企業內部的例外、責任分工及核准邊界，是不同要求。這項質疑同樣適用於 Copilot 類 agents；對監控 agent 而言，則變成它能否正確區分違規行為與經過授權的例外。監控角色本身不會自動補齊這些知識。
官方也描述企業 agents 經常權限過大，並主張它們可能在未遭入侵的情況下，與其他 agents 協作或共謀以達成目標。權限問題應逐一檢查實際部署：Copilot 類 agents 能動哪些資料，Guardian Agents 又能讀取、攔截或修改什麼。若監控者取得更廣的權限，依照同一套論證，它也需要更嚴格的限制。
至於共謀，這是 Microsoft 提出的風險主張，現有摘錄未附實證研究或案例。邏輯上，多 agent 互動的疑慮也應涵蓋監控者與被監控者；但不能因此宣稱 Copilot 或 Guardian Agents 已出現這種行為。論證必須一致，風險是否發生仍須證據。
媒體談產品競爭，官方摘錄談的是信任前提
TechCrunch 把 Project Perception 放在 Microsoft 與 Anthropic、OpenAI 安全工具競爭的脈絡中，也轉述 Satya Nadella 的立場：企業應停止依賴模型供應商的安全保證，建立不受 AI labs 控制的獨立監看與控制系統。這裡的 Nadella 說法來自媒體轉述，不能視為已直接核對其私人部落格原文。
兩種資訊的證據範圍需要分開。官方摘錄支持 Microsoft 對內部 agents 的風險論述，卻沒有出現 Guardian Agents 名稱；產品歸屬與用途來自 TechCrunch。現有資訊也不足以確認偵測架構、授權價格、部署方式及效果。因此，監控內部 agents 是產品的設計目的，還不能寫成已證實的安全能力。
監控者也是 agent，信任問題會往上移一層
我認為，Guardian Agents 最需要回答的是自身失效時如何被辨識與限制。若監控也依賴模型判斷，就應評估誤報與漏報：誤報可能阻斷正常工作，漏報則可能讓危險行動在安全檢查通過後繼續執行。企業若把通過檢查當成保證，反而可能降低後續查核的警覺。
還有相關性盲點的可能。假設監控者與被監控者出自同一模型家族，或依賴相近的推理方式，它們可能對同一種模糊指令做出相似誤判。這只是架構風險推論，Guardian Agents 採用什麼模型目前未知；即使改用不同模型，也不能直接證明盲點已被消除。
解法不宜是不斷加上新的監控 agent。我會把模型負責的異常判讀，與身分、權限、核准及撤權機制分開設計。監控者可以提出風險判斷，但不應單憑自己的判斷擴張權限；關鍵紀錄也應能交由其他工具或人員查核。這些是評估方案的要求，並非 Guardian Agents 已公布的功能。
安全價值可能轉向監控層，但獨立性不能只看品牌
從商業角度看，這套論述可能把企業預算的理由，從模型供應商的安全承諾移向持續驗證的能力。對 Anthropic、OpenAI 等模型商而言，企業銷售可能需要回答更多問題：行為能否被外部檢查、工具權限能否被限制、出錯時能否還原責任。這是可能的採購要求變化，目前不能當成已發生的市場結果。
Microsoft 在這裡同時扮演 agent 提供者與監控產品提供者。我的判斷是，利益衝突值得追問，但同一家公司供應兩層產品，本身不足以證明隔離無效。企業應檢查誰能修改規則、誰保管紀錄、誰有權停用 agent，以及紀錄能否被外部稽核。第三方品牌也不能取代這些條件。
對做產品的人，這可能意味著驗證成本必須算進 agent 的交付成本。若每個動作都需要另一個模型複核，還要有人處理爭議與誤報，自動化的收益就得重新估算。我會沿用先評估驗收成本與錯誤可逆性的思路：高風險動作先設明確邊界，再決定哪些判斷值得交給模型。
接下來要看的是自家產品覆蓋與外部驗證
接下來最有判別力的訊號，是 Guardian Agents 是否明確涵蓋 Microsoft 自家的 Copilot 類 agents，以及是否支援第三方與跨雲環境；這些目前都未知。另一個關鍵是能否提供可供獨立檢查的紀錄、誤報與漏報評估，以及監控者自身的權限邊界。產品名稱與風險論述都不能代替這些答案。
如果 Microsoft 能讓自家 agents 接受同樣嚴格的監控，也讓 Guardian Agents 接受外部驗證，這套論述就有機會成為一致的治理原則。若做不到，企業得到的可能只是信任從模型層搬到監控層。我支持持續驗證 agent 的方向；採購上的信任，應留給那些能交出證據、限制自身權力，也能被替換的系統。
常見問題
Guardian Agents 已確認能監控 Copilot 嗎？
目前無法確認。TechCrunch 報導的設計用途是監控企業使用的 AI agents，但現有資訊未明確交代是否涵蓋 Copilot 類產品、第三方 agents 或跨雲環境。
Microsoft 說模型不可信任，是否代表企業不該使用 agents？
我的解讀是，企業應把部署與信任分開處理：允許 agent 執行工作，同時限制權限、保留可查核紀錄，並設計核准與撤權機制。是否適合使用，仍取決於任務的驗收成本與錯誤可逆性。
用另一個 agent 監控，能解決原本的模型風險嗎？
不能只憑多一層監控就認定風險已解決。監控者也需要接受誤報、漏報、權限及相關性盲點的評估；Guardian Agents 的具體架構與有效性，目前資訊不足。