微软在 2026 年 10 月 19 日宣布，智能体的权限将随着一个持续计算的风险分数上升而收缩——写权限被收回而读权限继续、可见数据被收窄、下一步前面插进一个人、运行时被停掉。这种围堵确实优于一份长期常驻的授权，而它的代价是：你失去了每一次智能体事故复盘都要依赖的那一件工件。授权是一个在任何事情发生之前就能读到的持久对象，分数则只有在它变动之后才看得见。如果你要采用它，那么分数及其输入就得和每一个决定一起被记录下来——因为这套模型里没有别的东西会告诉你，为什么这个智能体 14:05 能写、14:35 不能写。
速览
发布报道确立了什么，以及确立得有多牢。
| 功能 | 做什么 | 可信度 |
|---|---|---|
| Dynamic Permissions | 没有常驻访问权；智能体只拿到单个任务所需、且只在该任务运行期间持有，上限是它所服务的那个人的权限 | 各家报道一致 |
| Dynamic Agent Risk | 逐智能体持续更新的分数，取自身份、数据、设备、云、网络，以及智能体自身的动作 | 一致 |
| Dynamic Conditional Access | 随分数攀升的分级响应：先失去写、保留读，再收窄部分数据，再要求人工批准，最后被停掉 | 一致 |
| Guardian Agents | 风险发生变化时去调查的智能体，可以建议围堵，也可以自己施加 | 一致，厂商口径 |
| 本地智能体发现 | 可在员工机器上识别 60 类智能体，其中包括 Claude Code、OpenAI Codex 与 GitHub Copilot | 原有数字说法冲突：25 或 35 |
| 打包方式 | 并入 Microsoft 365 E7，每用户每月 99 美元 | 仅单一出处 |
| 分数怎么算出来的 | 六个被点名的信号域；没有公布权重、阈值，也没有回放机制 | 未被确立 |
下面的一切都是读发布报道与微软同日的安全博客得出的，不是上手使用的结论。这一点对最后一行最要紧：每一家都点名了那六个信号域，没有一家说清分数如何加权、档位落在哪里，或者上个星期二的分数还能不能取回来。
授权是一个对象，分数是一个事件
常驻访问权对影响半径是坏事，对证据是好事，而整个行业用了两年时间正确地攻击了这句话的前半截。目录里的一份授权是一行记录：它在智能体动手之前就存在、能被一个不是智能体的人读到、周二给出的答案和周四一样；当事故复盘问起「这个智能体被允许做什么」，答案是一次查表。这种可审阅性不是授权的一个附带优点，它就是访问审查这件事的全部基础——也正因为如此，审查智能体凭据才是一件做得动的事。
把授权换成分数，这四项性质全部反转。权限只在任务运行期间存在，于是事先没有任何一行记录可读。它是算出来的、不是声明出来的，于是唯一能说出它的一方是那个打分器。它不稳定，于是两次完全相同的请求理所应当地得到不同答案。而事故复盘真正问的那个问题——不是「这个智能体被允许做什么」，而是「为什么这一个具体动作被允许了」——如今答案从未被写下来，因为那个起决定作用的输入，是一个在别人的控制平面里只存在了几秒钟的数字。
这不是在为常驻授权辩护。以委派人的权限为上限、按任务发放权限，是正确的设计，也是这次发布中无需任何附加说明的那一半。这里的论点是：证据不会跟着一起免费送达。从「声明的权限」走向「计算的权限」，把你的审计对象从目录搬进了遥测，而几乎没人注意到自己得去把它取回来。
六个信号域，意味着一家厂商眼里的事实
那六个输入——身份、数据、设备、云、网络，以及智能体自身的行为——是这次发布里真正有意思的披露，但原因不是新闻稿想要的那个。当成产品宣称来读，它说的是这个分数信息充分。当成架构陈述来读，它说的是这个分数只有在一个同时观测到这六者的领地内才算得出来，而实践中这意味着一套办公套件。一个一半在套件里、一半在套件外的智能体，不会因此拿到一个更差的分数；它拿到的是一个由「看得见的那一半」算出来的分数——而这是另一种、也更危险的失败方式，因为这个数字送到你面前时，并不附带任何置信区间。
这和上个月的「发现」所产生的是同一个结构性问题，只是换了件衣服；而它有一个值得直说的机械后果：一个由行为信号驱动的节流阀，会继承它所读取的那份遥测的每一个盲区。对智能体真正有区分力的信号是轨迹的形状、而不是任何单次调用的内容——哪些信号真的值回成本，见检测智能体被攻陷——而一个智能体去调三个你并未代理的 SaaS API，它的那段轨迹在管着它的那个分数里干脆就是缺席的。
打开它之前先问：它往哪个方向失效？
分级响应引入了一项没人会列进预算的依赖。静态策略的失效方式是你选的：当策略引擎不可达时，调用是放行还是拒绝，是你事先定下的，而失效关闭 vs 失效放开是一个有名字的设计决定。而一个打分式节流阀的失效方式，是从实现细节里掉出来的：如果打分器降级并返回陈旧值，智能体就一直保有上一个有效分数替它买来的权限；如果它什么都不返回、而策略把「缺失」当成低风险，那么全部智能体会在同一瞬间、无声地、在最糟糕的时刻被一起提权。
报道里没有一处说清这一款往哪边失效，而这是该拿去问厂商的第一个问题。第二个问题是，管理员能不能看到当前分数以及推动它变化的那些输入。一个你观测不到的控制不是一个你能运维的控制——而既然 Guardian Agents 可以自己施加围堵，你现在拥有的是一个能够以无人读过的理由收走智能体写权限的系统。
从第一天起，每一个被放行和每一个被拒绝的动作都要记三样东西：决定时刻的分数、它落在哪一档，以及把档位映射成权限的那个策略版本。三者之中通常有两样拿得到，而默认一样都不会被保留。缺了它们，你的审计轨迹记下了发生了什么，却丢掉了唯一能解释它的那个字段。
按人收费，按智能体承担
有一家媒体说，整套东西装进 Microsoft 365 E7、每用户每月 99 美元，打包了 E5、Copilot、Entra Suite 与 Agent 365。如果这个说法成立，那么这一层围堵就是按人计价的，正如 8 月Agent 365 把治理按人计价一样，而反对意见也是同一个，只是现在赌注更大。智能体风险不随员工人数增长。它随持有凭据的智能体实例数增长——而最需要按任务发权限、也最需要一个实时风险分数的部署，恰恰就是智能体数量比启动它们的人多一个数量级的那些。
实际效果是一个形状和你自己的成功一模一样的覆盖缺口。一个八人团队跑两百个定时智能体，付的是八个席位，需要的是两百个被打分的身份；这行不行得通是一个许可问题、不是一个安全问题，而它值得在架构评审之前就谈定、而不是之后。另外也请注意按席位计价会对边缘处的激励做什么：最不可能被纳管的那些智能体，正是跑在外包人员笔记本上、或跑在不属于任何席位的 CI 作业里的那些——而它们并不是风险分布里那条无害的长尾。
地板仍然是纳管，而地板是一张清单
能识别 60 类智能体，比任何小于 60 的数字都是实实在在的进步，而它是一张已知二进制文件的清单。智能体能拿到身份、分数和节流阀，前提是有东西认出了它；而一个带着 API key 和一个循环的 Python 脚本，按一切要紧的定义都是智能体，按任何扫描器能匹配的定义都不是。这次发布在方向上是诚实的——给未知智能体发它们自己的身份被明确写进去了——但检测面仍然是签名形状的，而对一个任何人都能在一个下午里加进去的群体做签名形状的覆盖，漏洞的形状是已知的。
这就是为什么环境权限这个框架仍然是该从那里出发推理的框架。真正引发事故的智能体通常不是有产品名字的那些；而是继承了某个人的会话、某个共享服务账号，或者一个活得比任务更久的令牌的那些。给已纳管智能体附上一个分数，对一个带着「捡到的」凭据在动作的未纳管进程毫无作用，而对后者的处方没有变过：缩短凭据寿命，并把权限放进任务里——而这一点，公道地说，正是这次发布的另一半。
那该拿它做什么
| 如果你…… | 采用 | 并且坚持要 |
|---|---|---|
| 智能体都在一套套件内，今天还在用常驻服务账号授权 | 先上 Dynamic Permissions；它严格优于你现在这套 | 分数、档位与策略版本写进你自己的日志，而不是厂商的 |
| 智能体跨多个云与多家 SaaS | 按任务发权限这一半；把分数当成构造上就不完整的东西 | 一个书面答案：某个信号域熄灯时，分数会怎样 |
| 范围内有审计师、监管方，或一个可申诉的决定 | 在能回放一个过去的决定之前，什么都不要上 | 分数保留期长到足以覆盖你自己的复盘窗口 |
| 绝大多数智能体未被纳管——脚本、CI 作业、工作站工具 | 上「发现」，并且预期清点缺口本身就是那个发现 | 一份针对「任何扫描器都叫不出名字的那些进程」的方案 |
产品底下那条可长期沿用的实践，值得和产品本身分开看——因为每一家大厂都会在两个季度内发出自己的版本，而运维工作在每一家都是同一件：自己定档位、把分数和决定一起记下来，并且在测打分器准不准之前，先测它缺席时会怎样。我们把这些写成了按风险打分的权限——本文是那份运行手册的新闻版。
常见问题
按风险打分的节流阀，比一份常驻授权更好吗？
论围堵，显然更好：它去掉了常驻权限，缩小了一个被攻陷的智能体能触达的范围。论证据，显然更差：它用一个瞬时数字换掉了一个可审阅的对象。两件事同时为真，而第二件靠记日志可以补救，第一件靠授权则根本补救不了。
我能看到那个拦下动作的分数吗？
发布报道里没有一处说。请把它当成是否采用的闸门问题，而不是以后再定的细节——一个你取不回其决定性输入的决定是不可审计的，无论这个决定本身多好。
这能阻止提示词注入吗？
不能，而它也不是这样卖的。它减少的是一个被成功注入的智能体接下来能做什么，而这正是该花力气的地方，但注入本身仍然命中。结构性防御依旧是打断「私有数据 + 不受信内容 + 外发通道」这个组合——见致命三要素。
风险打分器不可用时会发生什么？
没有说明，而两种可信的行为正好相反：陈旧分数会让智能体保有上一次挣到的权限，而把缺失的分数当成低风险则会同时给所有智能体提权。去问，并把答案写进你的运行手册。
按席位计价对安全真的有影响吗？
它决定覆盖面。如果被打分的身份数受席位数约束，那么席位之外的那些智能体——外包人员的机器、CI 作业、定时运行——就是被留在没有分数之外的那些，而它们不是这条分布里无害的那一尾。
延伸阅读
本站：
- 按风险打分的权限 —— 与厂商无关的运行手册：档位、记日志，以及测打分器的缺席。
- 智能体身份与权限 —— 为什么对智能体来说身份与授权是两个分开的问题。
- 决策回执与审计 —— 在动作发生的那一刻写下权限记录。
- 渐进式自治 —— 分级阶梯的面向人的那个版本，以及为什么降级必须自动发生。
- 发现不等于清点 —— 你检测到的与你登记在册的之间那道缺口。
来源：
- 微软安全博客，2026 年 10 月 19 日 —— 一手发布。
- SiliconANGLE 与 The Next Web —— 功能细节与打包方式。