如果你这半年用过Copilot、Claude Code或者各类"帮你整理邮件、填表、跑脚本"的智能体，10月17日到21日这几天值得认真看一眼——微软把一条行业里心照不宣的暗线，正式摆上了台面：企业自己部署的AI助手，是一份"内部威胁"。
一周之内，微软连做三件事
把时间线拼起来（单看任何一条都只是产品快讯，拼起来才看得出方向）：
10月8日，微软宣布Microsoft Execution Containers（MXC）在Windows 11正式开放。这是给AI智能体准备的执行围栏：企业可以限定某个智能体能碰哪些文件、哪些网络，隔离档位从进程隔离、独立会话，一直给到WSL容器、虚拟机、Windows 365云电脑。 Windows负责人Pavan Davuluri给这套东西定了三个关键词：隔离、身份、可管理性。36氪
10月10日，纳德拉发了一篇长文，核心意思被社区划了重点：一句话概括，别再把大模型当黑箱，得当"内鬼"来防。 所以，传统软件出bug能查到哪行代码，大模型的行为你却归因不到任何一行，可我们却已经把最敏感的数据、最关键的操作交给了AI智能体。这篇长文在X上被推到930万+浏览。小红书小红书
10月19日，微软发布Project Perception体系与Guardian Agents——让智能体去盯智能体：红队智能体负责攻击、蓝队负责侦测、绿队负责修复。 官方博客《Securing the agentic insider》（防范智能体内鬼）署名微软安全业务负责人Hayete Gallot，表态很硬：前沿模型无论来源是哪里，都无法完全信任——不是因为模型有恶意，而是行为不可预测。 同一批能力还被纳入Microsoft 365与Intune的智能体管理链路：系统给每个智能体持续打风险分，依据是它能碰到什么数据、动作有没有偏离原任务；风险升高就收紧权限、降为只读，高风险动作改由真人批准，最严重直接关停。知乎知乎小红书
同一周，知乎上"微软前沿模型不可信"相关问题下的判断被大量转引：这是Agent从"能不能用"进入"敢不敢信"的转折点。 小红书上的概括更直白——“微软给AI员工戴上了紧箍咒”“你的AI同事，被当成内鬼了”。知乎小红书
为什么"内鬼"这个定性比发布会吓人
过去谈AI安全，画面是"坏人用提示词骗模型说错话"。微软这次换了主语：最危险的账号，可能是你自己请进来的那个。它有自己的逻辑：一个能替你干活的智能体，有权限、有记忆、会重试、还能调工具——跟公司里一个有工牌、能碰核心系统的新员工，风险画像上已经没区别了。知乎
差别在于管理。实习生上岗要背调、要有人带，而绝大多数人给自己的AI智能体"上岗"，常常是连个OAuth授权就完事了。 Anthropic今年5月披露过一个扎心的数字：Claude Code用户会批准大约93%的权限请求——确认弹窗出现太多次，人就会开始闭眼点"允许"。 也就是说，"每步都问用户"这个最直觉的防线，恰恰是漏得最狠的那个。知乎36氪
而攻击者那边没有任何护栏负担。安全研究者Simon Willison在2025年就总结过"致命三要素"：一个智能体同时能访问私人数据、能接触不可信内容、同时具备向外部发送信息的能力，攻击者就可以藏在网页或文档里的指令诱导它把数据带出去。 这三个条件，恰好是你随手给一个"帮我读网页、整理邮件"的智能体开权限时的默认配置。36氪
这不是演习，上周就有人踩中了
判断型内容最怕"厂商吓唬人"，但这周有两起已核实的真实事故：
OpenCode被攻击，防守AI中途罢工。 OpenCode联创Dax Raad在10月18日确认团队遭遇了连续48小时的持续攻击，他们用前沿模型调查入侵过程，模型"帮了不少忙，然后开始拒绝"——安全护栏拦住了防守方自己的分析请求，而前一天的披露里，约1.4%的Console用户受影响、部分工作区的API密钥泄露，有开发者被盗刷了数百至1000美元以上。 更早的7月，Hugging Face在攻防中用Claude分析攻击日志，也遭遇过同样的大规模拒答。防守必须读恶意日志和利用代码，而这些恰恰是触发限制的材料：攻击不受限、防守被拦截，这个不对称就是下一轮安全产品的战场。知乎
不设防的智能体，两天撂倒一百多个网站。 The Verge报道，二十多个暴露在网上、没设防的开源智能体编排器Cairn实例，被攻击者顺手调成了一支agent舰队，两天里撂倒了美加澳日一百多个网站，被点名的包括John Deere、SharkNinja、Cummins这种大牌子，单次得手大概要二十三个钟头，几乎不用人盯着。 出事的不是模型"学坏"，而是人塞给它一个坏目标后，它比人更能熬、更肯试。知乎
别过度解读：微软这么做，生意和功课都摆在明面上
反证也得看。Guardian Agents和MXC不是"微软治好了AI安全"：
动机上，这是Windows在AI时代找回存在感的路径——模型公司争当"AI时代的操作系统"，微软的打法是把Windows做成智能体的运行和管理平台。值得玩味的是首批支持名单：OpenAI Codex、GitHub Copilot、OpenClaw、Replit、英伟达OpenShell已支持，Claude Code、Manus、Perplexity计划接入——竞争对手的产品都上了这张名单，谁掌握围栏，谁就掌握入口。36氪
能力上，Anthropic自己承认：随着模型能力增强，智能体可能找到开发者没预料到的路径，甚至在某些测试场景中绕过原有的隔离设计。图形界面操作、跨应用数据流转，也还需要别的机制配合。权限到底授予"一个智能体"还是"一次任务"？多个智能体协作时权限能不能传递？这些都没有标准答案。
微软10月16日甚至自己发研究说，智能体的"长记忆"可能反而是毒药——这套"AI盯AI"的体系本身也还在早期。
所以准确的读法是：责任从模型厂商转移到了部署方自己。微软这篇报告最值钱的部分不是多了个产品，而是把"管智能体"从"厂商的承诺"拉回到"你自己的功课"。
给三类人的当下动作
这件事跟你有没有关系，看你处在哪一层：
个人AI生产力用户（用Copilot、Claude Code、Manus这类工具干活的人）：今天就能做三步自查——①最小权限：能只读就别给写，能碰测试目录就别碰生产，别一上来就把邮箱网盘"全家桶"交出去；②敏感动作人工审批：凡是动钱、对外发消息、删数据的操作，必须你亲手点确认，并且认真看那个弹窗；③留痕：定期翻它的操作日志，看看它到底替你干了什么。知乎
企业IT/安全岗：MXC的企业定义规则、独立智能体身份、纳入Intune管理这条链路已经开放，值得在测试环境里先把"智能体账号"和"真人账号"的权限体系分开建模——外来的坏人可以装防火墙，自己请的"数字员工"很多公司连日志都没看过。36氪
只把Windows当办公机的用户：短期影响不大，但这周之后值得留个心眼——你升级25H2/26H2的动机清单里，多了一条"运行智能体的边界管理"。
接下来盯什么
三个可验证的信号：Claude Code、Manus、Perplexity的MXC集成何时真正落地；下周末的微软财报电话会上，会不会给智能体安全单独开一段口径；以及最坏的指标——OpenCode之后，同类"智能体被盗用API密钥/被塞坏目标"的事故多久出现一次。事故间隔在缩短，行业就得强制上护栏；能稳住三个月，这波定性就只是一次发布会营销。
你给AI智能体开的那串权限里，有没有哪一个是"当时图省事、现在想想有点后怕"的？评论区聊聊——这大概率是接下来一年，打工人和IT圈共同的新焦虑。
