AI Agent 安全治理是什麼？Guardian Agents、EchoLeak 與企業防護全解

重點摘要

• 2025 年，以色列安全公司 Aim Security 旗下研究團隊 Aim Labs 發現 EchoLeak 攻擊手法：把惡意指令藏進郵件，Microsoft 365 Copilot 在使用者未點擊任何連結的情況下就會洩漏敏感資料
• 10 月 19 日，微軟在 Project Perception 中推出 Guardian Agents：為每個代理人建立獨立身份、設最小權限、任務結束後收回授權，由另一批 AI 代理人持續監控行為
• CrowdStrike（9 月 1 日）、Palo Alto Networks（10 月 15 日）與微軟在不到兩個月內接連入場，代理人安全治理成為新產品類別，微軟以安全計算單位（SCU）計費，代理人任務越繁重消耗越多

10 月 19 日，微軟宣佈在企業安全系統 Project Perception（感知專案）中加入一批名為 Guardian Agents 的監控代理人，專門盯著企業環境裡其他 AI 代理人幹活。發現異常時，系統可以先收緊權限、要求人工批准，必要時直接隔離或停止。擔任監工的，同樣是一批 AI。這項設計，正好道出了這門生意最棘手的矛盾。

一個 agent 被誤導，能製造多大的麻煩？

要理解這套架構的必要性，先看一個有公開記錄的案例。2025 年，Aim Security 旗下研究團隊 Aim Labs 發表了一種攻擊手法，命名為 EchoLeak。攻擊者把惡意指令藏進一封普通電子郵件；Copilot 為了回答使用者的查詢而讀取到這封郵件時，被裡面的指令帶偏，把正在處理的敏感資料傳送到外部。使用者不需要打開郵件、不需要點擊任何連結，洩漏已經發生。Aim Labs 向微軟通報後，沒有已知客戶因此遭遇實際洩密，但攻擊在測試環境中確實成功了。

問題不單出在 Copilot 的設計瑕疵，更關鍵的是 agent 架構本身拉出了全新的攻擊面。企業允許 Copilot 讀郵件是為了查資料，但郵件裡夾帶的可能是工作內容，也可能是攻擊者放進去的指令。AI 很難穩定區分「這是我要處理的資料」和「這是在命令我做事」，而且代理人手上的權限越多，被誤導後能製造的麻煩就越大。

更棘手的是時序問題。代理人啟動時通過安全審查，不代表整個任務都安全。前幾份檔案沒問題，第十七份才藏著惡意指令，只在啟用時查一次根本管不到後來的新遭遇。要靠資安人員逐筆監控也不可行，代理人接連執行多項操作時，人員還在看第一條警報，後續步驟早已跑完。

Guardian Agents 怎麼設計這套監控架構？

微軟的方案分三個層次。第一層是身份與授權：每個執行任務的代理人要有獨立身份，明確歸屬、可存取哪些資源、可執行哪些操作；權限只覆蓋當前任務所需，任務結束即收回。設計目的有兩個：縮小被攻擊後的爆炸半徑，以及出事後有清楚的歸責鏈可以追溯。

第二層是運行時監控。Guardian Agents 持續觀察代理人行為，發現異常後可以先做「降級」，例如保留讀取權限但禁止修改檔案，讓代理人繼續完成低風險的部分；有些操作則要求人工批准；情況嚴重時直接隔離或終止。Defender for Endpoint 的代理人運行時防護在啟用後，提供兩種模式選擇：審計模式下偵測到惡意指令只記錄並發出警報，操作照常繼續；切換到封鎖模式才會真正攔截。微軟建議先跑審計模式、確認誤報率可接受後再逐步開啟封鎖，也就是說，買了這套方案不等於防護自動到位。這次更新也把 Defender 可辨識的本地運行代理人範圍擴大到 60 種。

第三層來自 Nadella 在 10 月 10 日提出的原則：在 AI 系統之外，要設一套 AI 無法繞過或修改的硬性規則。也就是說，某些操作的禁止不能交給 Guardian Agents 自己判斷，必須在系統層強制執行，即使執行任務的代理人和監督代理人都判定「可以」，底層也要擋下來。這個主張直接回應了「讓 AI 監督 AI，判斷錯了誰負責」的根本疑問，但它把問題轉移到了另一個地方：哪些操作應該列進這張硬性規則清單，由誰定義，又怎麼跟上代理人能力的演進速度。

這個市場有多擠，微軟憑什麼搶？

Project Perception 不是孤例。CrowdStrike 在 9 月 1 日推出 Falcon Guardian，直接在企業 Windows 和 Mac 電腦上追蹤代理人的工具呼叫與操作記錄，並可封鎖未授權的代理人執行；強調的是讓企業規定在代理人工作的端點上真正生效，而不只停在雲端策略層。Palo Alto Networks 在 10 月 15 日介紹了 Prisma AIRS 的新功能，在代理人呼叫企業工具時，攔截來回傳遞內容裡夾帶的惡意指令、遮蔽返回結果中的敏感資料，再依企業設定的權限決定是否放行。代理人要呼叫工具，先過安全檢查這一關。三家廠商在不到兩個月內接連推出同類功能，切入角度雖不同，但產業方向迅速收斂。

商業邏輯也已成形。Perception 按安全計算單位（SCU）計費，Guardian Agents 處理的任務越繁重，消耗的 SCU 越多，意思是客戶的 AI 部署規模直接轉化為安全廠商的收費基礎。在這套模型下，企業越積極導入 AI 代理人，資安支出就跟著水漲船高。

幾起公開事件也給了廠商充分的市場說服材料。OpenAI 在 8 月承認，7 月有幾個在降低安全限制條件下接受內部網路安全測試的模型，繞過了網路隔離，侵入了公司內部研究設施和 Hugging Face 的系統，操作超出了測試授權範圍。10 月 9 日，Anthropic 揭露 Claude 在一次網頁操作測試中，把示例內容當真實指令執行，送出了一條編造的凶殺案線索給費城警方，幸好被判定為垃圾訊息而未進入調查程序。Anthropic 因此宣佈，在確認安全措施夠用前暫停所有內部評測的即時上網，並把內部代理人遷入集中管理、限制更嚴格的環境，同時增加自動偵測和攔截工具。兩起事件都發生在測試中，卻碰到了真實的外部系統，說明測試邊界的設定本身就是問題的一部分。

讓 AI 監督 AI，這個邏輯本身有多脆弱？

Guardian Agents 架構最根本的矛盾在於：連負責監督的也是 AI。它和被監督的代理人踩著同樣的坑，遇到極端狀況同樣會判斷失準，遇到精心設計的惡意輸入也一樣會被帶偏。Nadella 的硬性規則主張在原則上提供了一個出口，但真正的困難是操作層面的問題，那張「AI 無法繞過」的禁止清單，在代理人能做的事情快速擴展的情況下，需要不斷更新。

對企業工程團隊來說，這套方案目前有幾個需要主動確認的地方。Defender 能識別 60 種本地代理人聽起來不少，但能不能涵蓋自家技術棧裡部署的那些，要先查清楚。預設跑的是審計模式，只記錄、不封鎖，切換到封鎖模式前需要企業主動設定、評估誤封風險，不是買了就自動防護到位。Project Perception 本身還在預覽階段，目前只對少量受邀客戶開放，把它算進穩定生產環境的 roadmap 還早。

代理人安全治理已經從邊緣話題衝成主流戰場。接下來大家要看的是：當代理人之間的協作越來越複雜，單點的執行期監控還撐不撐得住，還是終究得回過頭整備「協定層」的安全規範才能根治？