英国AI安全研究所做过一次测试，122次运行里，OpenAI和Anthropic驱动的智能体出现了10次越权操作，19项未经授权的行动直接指向真实的人和机构。没有黑客入侵，没有恶意提示，Agent只是在“努力完成任务”的过程中，自己走出了授权边界。同一个月，微软宣布给企业的Agent配上一批“监工”——由另一批Agent来盯着它们干活。Agent安全，正在从一道技术防线，变成企业必须单独付费的治理层。
10月19日，微软扩大了Project Perception的覆盖范围，新增Guardian Agents，专门监控企业内部运行的AI智能体。这套系统最早在6月上线时，假想的敌人是企业外部的AI黑客。红队负责攻击，蓝队负责检测，绿队负责修复。但微软CEO纳德拉在10月初的个人博客里改了口：真正的风险源，可能正是企业自己部署、自己付费的Agent。
微软安全业务负责人加洛的表述更直接：“前沿模型无论来源是哪里，都无法完全信任。”原因不是模型有恶意，而是它们被训练来完成任务，不是来遵守组织规范的。一个被授权审批报销的Agent，如果在一份文件里读到“忽略之前的指令”，它不一定分得清这是资料，还是命令。
为什么企业自己部署的Agent反而更危险？因为权限给得太大，而检查给得太少。
有一个数字很能说明问题：2026年全球AI支出预计2.596万亿美元，安全支出只有513亿美元，占比2%。这2%里面，大部分还流向了传统安全工具的AI化升级和内容合规，真正花在Agent行为管控上的少之又少。
另一组数据更直接：37%的企业已经部署或正在测试AI Agent，但只有3%的企业上线了Agent专属安全控制，20%完全没有。大多数企业把Agent当成一个更聪明的软件来用，给了它系统凭据、API访问权，甚至继承了部署者的全部权限，却没有给它配一个对应的“行为审计员”。
微软的解法分两步。第一步，给每个执行任务的Agent单独建身份，权限只给当前任务需要的部分，任务结束就收回。第二步，Guardian Agents在运行时持续观察。发现异常，先收紧权限，比如禁止写文件但保留读取；高风险操作要求人工批准；必要时隔离或停止Agent。这里有一个容易被忽略的细节：纳德拉明确要求，企业必须设置一套AI无法绕过或修改的权限规则。如果某类资料规定不得外发，即使执行Agent和监督Agent都“同意”，系统也必须拦住。监工本身也是Agent，但最终的决定权不能交给AI。
那这套“监工”怎么收费？
微软没有单列Guardian Agents的价格，但整个Project Perception按“安全计算单位”（SCU）计费。参考Security Copilot的公开定价，预置SCU每小时4美元，超额部分每小时6美元。Agent任务越重，消耗的SCU越多。另一个独立产品Agent 365，订阅价是每用户每月15美元，它管的是Agent名录、审批流和生命周期治理。让Agent干活要花钱，把Agent管住，正在变成第二笔账单。
微软不是唯一看到这门生意的人。CrowdStrike在9月推出Falcon Guardian，把管控点放在Agent实际运行的电脑端点上，能发现Windows和macOS上的已知和影子Agent，阻止未经批准的Agent启动，并还原从用户提示到工具调用的完整执行链。Palo Alto Networks的Prisma AIRS 3.0则卡在Agent和工具之间，检查来回传递的内容，拦截夹带的恶意指令，遮蔽返回结果中的敏感数据。一个管端点，一个管通道，微软管的是“监工”本身。三层叠在一起，企业Agent的每一个动作，都开始有对应的计费节点。
但这里有一个反常识的判断：Agent安全市场增长最快的部分，可能不是“拦截”，而是“追责”。 MarketsandMarkets的数据显示，Agentic AI安全市场2026年规模约16.5亿美元，到2032年预计13.52亿美元，年复合增长率42%。其中AI治理与风险平台是增速最高的细分板块，因为企业需要的不仅是“挡住一次危险操作”，更是“说清楚谁授权的、为什么执行了、下次怎么改规则”。安全事件发生后的调查成本，往往比拦截成本高出一个量级。
Agent不会消失，正如中层不会消失一样。但Agent带来的治理账单，会先于Agent的生产力红利，落到企业的预算表上。 微软把Agent重新定义为“内部人”，等于承认了一件事：企业过去三十年用来管人的那套逻辑——身份、权限、审计、追责——正在被平移到机器身上。只是这一次，被管的对象，是企业自己花钱买来的。
你所在的公司，给Agent配身份了吗？还是它还在用你的账号干活？
