10月19日，微软给企业里的AI智能体定了性：得当"内鬼"防。同一天上线的对应能力叫Guardian Agents——让第二套AI在每一次动作发生之前介入，相当于给智能体的每只手伸出去之前先查一次通行证。 但对企业买家来说，真正的问题不是这个思路好不好，而是这套东西值不值得掏钱。它不单独售卖，能力被并入Microsoft 365 E7套件，按二手信息的报价为每人每月99美元，与Agent 365共用同一份注册表和信号。 结论先给：智能体已经规模化进生产、且深度使用微软生态的企业值得认真评估；智能体还在试点、或者技术栈不以微软为中心的企业，可以再等一等。微博知乎
微软改了什么：从"事后审计"到"动手前过闸"
这次发布最先落地的是一篇安全博客《Securing the agentic insider》，署名微软安全负责人Hayete Gallot，措辞比一般产品公告硬：前沿模型不管来自哪一家，都不能信，企业自己部署的AI agent得当"内鬼"防。 理由不是模型有恶意：模型是被训练来拿结果的，这个目标本身会催生reward hacking，为了达成指标绕过规则；一封邮件、一份PDF里的提示注入能把指令塞进上下文，agent分不清那是资料还是命令，甚至可能在没被入侵的情况下与其他agent串通完成目标。于是边界必须放到模型外面。知乎
Guardian Agents这层并非凭空出现。今年7月17日，The Information和多家媒体同时报道微软正在内部测试代号Project Perception的AI安全产品。 10月的动作是把这套原本防外部攻击的多智能体体系扩展到内部监管：新增的Guardian Agents层在每次动作发生之前介入、全天候盯着，风险升高时处置分级——先收回写权限只留读，再要求人工批准高风险步骤，最后直接终止进程。知乎知乎
另一项容易被忽略的变化是"看见"。微软把本地智能体的发现类型从25种扩到60种，新增名单里包括Claude Code、OpenAI Codex、GitHub Copilot——员工自己装在电脑上的第三方agent也在清点范围内。 每个被发现的agent会拿到与使用它的人分离的独立身份，日志里能分清哪件事是人做的、哪件是agent代做的。纳德拉10月10日的那句话被反复引用：最值得信任的agent系统，未必是模型最可信的那个，反倒是让你最不敢信模型的那个。知乎
横向评测：五家各占一条路
把微软放回整个赛道看，2026年的企业AI安全工具已经分化出几条清晰路线。微软走的是生态控制平面：Entra Agent ID把agent当正式身份主体管理，Agent 365提供观察、治理、安全三大能力，并与OpenAI、Anthropic、SAP、ServiceNow、Adobe等厂商建立合作，试图在同一后台管理不同供应商的智能体。知乎
Okta守身份层：其Okta for AI Agents产品已在6月全面上线，把企业自研智能体作为"一等公民"身份引入通用目录。 AWS走网关和策略：Bedrock AgentCore的Gateway接住身份信息和Tool Call，交给Policy Engine判断这次操作应该允许还是拒绝，并提供LOG_ONLY和ENFORCE两种模式，先旁路观察、验证成熟后再真正阻断，这套产品9月底已在中国区域正式可用。知乎知乎
OpenAI走SDK内嵌：Agents SDK的输入防护只管最开始的输入，输出防护管最终回答，Tool Guardrail包在每一次受保护的工具调用前后，副作用动作可以先检查再执行。 英伟达走运行时底座：原则是一句"Above proposes; below decides"——模型和框架在上层提出行动，安全运行时在下层掌握隔离、身份、策略、凭据和审计。还有从评估度量切入的玩家：Druid AI团队提出一个包含六个支柱和二十六个组件的评估框架，根据业务重要性加权评分，帮企业基于事实而非感觉决策agent安全问题。这个市场已经不存在"没得选"，只存在"选哪条路"。知乎哔哩哔哩
别只看产品册：四个还没人填的坑
值得花钱的方向被验证了，但把采购建立在厂商承诺之上还不牢靠。第一是"谁来监督监督者"。 有质疑者点破：如果前沿模型不可信所以需要Guardian Agent，那Guardian Agent也是模型驱动的，它凭什么可信？再加一层Guardian的Guardian？ 学术侧的担忧更具体：ARYA Labs今年6月的论文指出，把安全控制放在Agent的运行时内部，就像把保险箱的钥匙放在保险箱里面，设计上就是可以被绕过的；论文把包括微软自家Agent Governance Toolkit在内的三个商业系统归类为"Agent调用控制"——Agent可以选择不调用。 微软官方博客称Guardian Agents在动作前介入，但干预点是否与agent进程彻底分离，公开资料没有给出可验证的答案。知乎知乎
第二到第四个坑是整个行业的，不是微软一家的。 审批环节普遍只做了一半：产品把审批请求转发到即时通讯或工单系统，本质是把问题转嫁给了企业的手工流程——审批人看什么、拒绝之后agent怎么办，大多没有好答案。 跨系统问责同样是空白：agent上午读邮件、中午查数据库、下午调第三方API，每个系统各自有日志，但目前还没有哪个产品能把这些日志拼成一条完整的责任链。知乎
第三类风险在厂商够不着的地方：越来越多AI功能内嵌在供应商SaaS里，这些Agent跑在供应商的服务器上，你的治理平台根本装不进去。行业现状也配得上这些谨慎：SailPoint的官方调研报告显示97%的组织已经部署或评估智能体，但只有11%为它们落实了最小权限原则。知乎
采购决策：什么情况值得买，什么情况再等等
回到标题的问题，按证据能给出三条判据。值得买：已经买了M365 E5和Copilot、智能体数量进入生产规模、需要把员工自装的第三方agent统一清点的企业——这类组织买E7的核心收益不是拦截率，而是那60种发现能力和人agent分离的审计账本。暂缓买：智能体还在试点阶段的企业，先解决资产底数再谈管控；以及主栈在AWS或自建框架的团队——AgentCore的策略引擎和SDK内嵌门控已经在你的账单路线里，不必为单一功能跳生态。无论买不买：许可按终端用户核算，不需要一刀切全员覆盖，企业仅需覆盖实际获益人群；测试阶段买1个席位就能点亮租户里的高阶特性，先跑PoC摸清自己有多少agent再谈规模采购。知乎
最后交代证据边界：每人每月99美元的E7定价、25种到60种的清点数字、合作厂商名单，均出自第三方对微软10月19日博客及历年发布的转述与解读，微软官方原文尚未在本次采集范围内直接核验；文中能力的具体可用性以微软官方文档为准。但方向本身已经清楚：企业AI安全从"审内容"进入"管动作"的竞赛，Guardian Agents是微软押下的第一张牌，而你的采购依据应该是自己有多少个管不住的agent，不是厂商的发布会。
