Microsoft wil AI-agenten op kantoor tijdens hun werk begrenzen

Microsoft heeft een uitbreiding van Project Perception aangekondigd die AI-agenten binnen bedrijven voortdurend moet bewaken. Het beveiligingssysteem moet hun bevoegdheden aanpassen zodra hun gedrag meer risico oplevert. Daarmee richt Microsoft zich nadrukkelijk op de software die organisaties zelf toelaten, naast aanvallen van buitenaf.

Een AI-agent voert opdrachten uit met toegang tot bijvoorbeeld documenten, bedrijfsapplicaties en andere software. Microsoft waarschuwt dat bedrijven zulke agenten te gemakkelijk vertrouwen omdat ze die zelf hebben ingezet. Een agent kan tijdens zijn opdracht anders gaan handelen wanneer nieuwe informatie zijn plannen beïnvloedt, ook zonder dat een aanvaller hem heeft overgenomen.

Die vraag speelt juist bij assistenten die zelfstandig kantoorwerk overnemen. Microsoft werkt bijvoorbeeld met Anthropic aan Copilot Cowork voor taken binnen Microsoft 365. Hoe meer een assistent zelf uitvoert, hoe belangrijker het verschil tussen informatie lezen en daadwerkelijk iets veranderen.

Voor een bedrijf zijn dat concrete keuzes. Een assistent die declaraties controleert, hoeft niet automatisch bankgegevens te mogen wijzigen. En toestemming om klantgegevens op te zoeken, geeft nog geen reden om een volledig klantenbestand te exporteren. Organisaties moeten die grenzen vooraf vertalen naar toegangsrechten.

Microsoft beschrijft in zijn technische toelichting drie nieuwe onderdelen. Dynamic Permissions beperkt de rechten van een agent tot de goedgekeurde taak en de benodigde tijd. De agent mag geen bevoegdheden krijgen die de gebruiker zelf niet heeft.

Dynamic Agent Risk beoordeelt ondertussen signalen uit onder meer accounts, gegevens, apparaten en het gedrag van de agent. Dynamic Conditional Access koppelt daar maatregelen aan. Het systeem kan lezen toestaan terwijl het wijzigingen blokkeert, toegang tot bepaalde gegevens beperken of menselijke goedkeuring eisen. Bij hoge risico’s kan het de agent stilzetten.

Microsoft gebruikt een declaratieagent als voorbeeld. Die krijgt tijdens zijn werk onbetrouwbare inhoud binnen en probeert vervolgens een actie buiten zijn opdracht uit te voeren. De beveiliging kan dan zijn goedkeuringsrechten intrekken terwijl de medewerker zelf gewoon doorwerkt.

Zo’n verborgen instructie heet prompt injection. AI Wereld beschreef eerder waarom die aanvalsvorm ook bij AI-browsers met toegang tot persoonlijke gegevens een probleem vormt. De belangrijke grens ligt tussen inhoud die een agent moet verwerken en opdrachten die hij daadwerkelijk mag opvolgen.

Microsoft presenteerde Project Perception op 27 juli 2026. De aankondiging van oktober is dus een uitbreiding van een bestaand project. Aanvankelijk legde Microsoft de nadruk op agenten die beveiligingsteams helpen bedreigingen te onderzoeken en zwakke plekken aan te pakken.

Het oorspronkelijke systeem verdeelt dat werk over drie soorten agenten. Rode agenten zoeken mogelijke aanvalsroutes, blauwe agenten onderzoeken risico’s en groene agenten helpen de bescherming verbeteren. Microsoft combineert daarbij verschillende AI-modellen, afhankelijk van de beveiligingstaak.

Met de uitbreiding voegt Microsoft Guardian Agents toe: toezichthouders die andere agenten bewaken. Beveiligingsteams moeten kunnen terugvinden wat er gebeurde en waarom het risico toenam. Die informatie helpt medewerkers te bepalen welke regels zij vervolgens aanpassen.

Project Perception is nog niet algemeen beschikbaar. De productdocumentatie van Microsoft noemt een beperkte openbare preview voor een kleine groep klanten op uitnodiging. Het product kan vóór een commerciële release nog aanzienlijk veranderen.

Microsoft waarschuwt bovendien dat beveiligingsagenten onjuiste, onvolledige of verouderde resultaten kunnen opleveren. Hun kwaliteit hangt mede af van de gegevensbronnen en rechten die een beheerder beschikbaar stelt. Ontbrekende informatie kan daardoor ook het beveiligingsonderzoek beperken.

Beheerders kunnen lopende sessies stoppen, acties bij goedkeuringsmomenten afwijzen en agenten bijsturen. Het systeem bewaart sessies als onveranderbare verslagen van hun werk. Voor organisaties betekent dat een praktische testvraag: levert de agent voldoende bewijs om een ingreep te rechtvaardigen? Een automatisch risicosignaal moet een beveiligingsteam kunnen controleren voordat het daarop een ingrijpende beslissing baseert.