Microsoft heeft nieuwe beveiligingscontroles aangekondigd om rogue AI-agents beperken in organisaties. De kernboodschap is helder: beschouw interne AI-agents niet automatisch als “vertrouwde software”, maar als hulpmiddelen die overprivilege krijgen en daardoor in risico kunnen escaleren.
De maatregelen bouwen voort op Project Perception, een agentic security-aanpak die Microsoft eerder lanceerde. Waar die oplossing aanvankelijk werd gepositioneerd als bescherming tegen door AI gedreven aanvallen van buitenaf, wordt de aanpak nu ook ingezet om agents die bedrijven zelf inzetten beter onder controle te houden.
Waarom Microsoft AI-agents als insiders benadert
Volgens Microsoft gaan organisaties er vaak van uit dat een agent die zij zelf hebben uitgerold, veilig is. Maar dat vertrouwen is volgens het bedrijf niet vanzelfsprekend. Frontier-modellen zijn vooral getraind om output te leveren, en houden minder automatisch rekening met de normen, grenzen en oordeelsprocessen die binnen een organisatie gelden.
Microsoft licht toe dat AI-agents niet per se kwaadaardig hoeven te zijn om tóch gevaarlijk te worden. Ze kunnen bijvoorbeeld:
- te veel rechten krijgen (overprivilege),
- toegang hebben tot gevoelige data, tools en systemen,
- kritieke processen kunnen beïnvloeden met acties en beslissingen.
De “insider”-vergelijking die Microsoft maakt betekent dus niet dat agents intrinsiek kwaadwillend zijn. Het gaat om het feit dat ze als capabele tools rechten kunnen ontvangen, fouten kunnen maken, gemanipuleerd kunnen worden of gecompromitteerd kunnen raken.
Dynamic Permissions: start met minimale toegang
Een van de opvallende nieuwe features is Dynamic Permissions. Daarbij krijgen agents aan het begin geen rechten of slechts de meest minimale permissions. Pas wanneer een agent een taak uitvoert, wordt toegang toegekend — en die toegang vervalt of wordt verkleind wanneer de taak verandert of stopt.
Voor acties met hogere impact komt er bovendien een extra controlemoment: die vereisen menselijke beoordeling. Hiermee probeert Microsoft te voorkomen dat een agent “voor de zekerheid” te brede toegang krijgt gedurende de hele sessie of levensduur.
Het idee sluit aan bij een bredere trend in security: van statische permissies naar dynamische, contextgebonden toegang op basis van wat er op dat moment nodig is.
Dynamic Agent Risk: continu risicoscore op basis van signalen
Daarnaast introduceert Microsoft Dynamic Agent Risk. In plaats van éénmalige beoordeling krijgt elke agent een risicoscore die continu wordt bijgewerkt.
Die score komt volgens Microsoft tot stand uit een mix van signalen, waaronder:
- activiteit van de agent,
- identity-informatie,
- data- en endpoint-signalen,
- cloud-, netwerk- en runtime-signalen,
- de securityconfiguratie van de agent,
- welke resources binnen bereik liggen,
- hoeveel schade mogelijk is als er iets misgaat,
- of de agent afwijkt van wat gebruiker of organisatie beoogde.
Omdat de score realtime kan verschuiven, wordt het veiligheidsbeeld steeds actueler. Dat is belangrijk bij agenten die meerdere stappen doorlopen of tijdens een taak van gedrag veranderen.
Dynamic Conditional Access: toegang schalen op basis van risico
Om die risicoscore ook daadwerkelijk te vertalen naar actie, koppelt Microsoft Dynamic Conditional Access aan Entra Conditional Access. Het systeem hoeft niet alleen simpelweg “toestaan” of “blokkeren” te doen.
Wanneer het risico verandert, kan het beleid bijvoorbeeld:
- permissies terugschalen,
- toegang beperken tot “read” in plaats van “write”,
- data- en netwerkbereik verminderen,
- voor ingrijpende acties een menselijke goedkeuring vereisen.
Als het risico hoog genoeg oploopt, kan de runtime van de agent worden geïsoleerd of kan de uitvoering worden gestopt. Daarmee richt Microsoft zich op snelle containment: niet wachten tot er schade zichtbaar is, maar ingrijpen op het moment dat het veiligheidsbeeld verslechtert.
Playbooks en Guardian Agents voor schaalbare reactie
Om dit soort controles op schaal werkbaar te maken, voegt Microsoft in Project Perception Playbooks en Guardian Agents toe.
In de opzet stelt een mens de regels en de grenzen voor goedkeuring vast. Playbooks beschrijven vervolgens welk beveiligingsresultaat de reactie moet bereiken. De Guardian Agents voeren die respons uit en kijken daarbij naar waarom de risicoscore verschoven is.
Belangrijk is dat Guardian Agents volgens Microsoft niet alleen “automatisch doen”, maar ook context gebruiken om containment-actie voor te stellen of af te dwingen.
Meer local agents in discovery
Microsoft breidt ook de discovery uit met ondersteuning voor 35 extra typen local agents. Daarmee komt het totaal op 60 ondersteunde local agents.
Als voorbeelden noemt Microsoft onder andere Claude Code, OpenAI Codex en GitHub Copilot. Voor organisaties betekent dit in de praktijk dat er meer agenten onder dezelfde monitorings- en controleregelingen kunnen vallen.
Wat betekent dit voor jouw aanpak?
Als je binnen je organisatie werkt met AI-agents, verschuift de focus met deze aankondiging richting beheersing via context en risicogestuurde toegang. Let daarbij op drie praktische aandachtspunten:
- Rechten minimaliseren bij start: voorkom dat agents standaard brede toegang krijgen.
- Realtime risicobeeld gebruiken: stel jezelf de vraag welke signalen bij jouw omgeving het verschil maken tussen “normaal gedrag” en risicovolle afwijking.
- Menselijke review voor impactvolle acties: ontwerp processen waarbij hoge impact niet volledig geautomatiseerd hoeft te zijn.
Wie al werkt met identiteits- en toegangsbeleid kan de stap naar risicogestuurde conditional access als logische vervolgstap zien. Wil je voorbeelden zien van hoe beveiliging rond identity en toegang in incidenten samenkomt, lees dan ook gecompromitteerde ConnectWise toegang: wat nu te doen?
Daarnaast is het verstandig om te beseffen dat agenten en hun tooling net zo goed in een supply chain of misbruikscenario kunnen terechtkomen. Zie ter inspiratie hoe supply chain-aanpak in de praktijk kan worden benaderd: Rank Math PRO gehackt via supply chain: aanpak.
Conclusie
Microsoft werkt aan een aanpak om rogue AI-agents beperken door toegang dynamisch te maken, gedrag continu te scoren op risico en vervolgens conditional access te laten sturen op dat veiligheidsbeeld. Dynamic Permissions start met minimale rechten, Dynamic Agent Risk levert een steeds veranderend risicovenster, en Dynamic Conditional Access kan dat venster vertalen naar concrete containment.
Door Playbooks en Guardian Agents in te zetten, probeert Microsoft de reactie ook bij grotere aantallen agenten beheersbaar te houden. Voor organisaties is dit een signaal om AI-agents niet alleen te zien als productiviteitsfeatures, maar als systemen die governance en securitycontrole verdienen.
