Microsoft presenterar nya säkerhetsfunktioner som ska övervaka företagens AI-agenter och begränsa vad de får göra. Med Guardian Agents och löpande riskbedömning vill bolaget hindra att agenter kommer åt fel information eller utför otillåtna handlingar. Men det finns en viktig skillnad mellan att upptäcka en risk och att faktiskt stoppa den.
Microsoft presenterade den 19 oktober 2026 en utbyggnad av Project Perception, bolagets säkerhetssatsning för AI-agenter. De nya funktionerna ska göra det möjligt att övervaka agenternas beteende, anpassa deras behörigheter och kräva mänskligt godkännande när en åtgärd bedöms vara särskilt känslig.
För företag som börjar använda AI för att hantera dokument, ekonomi och interna arbetsflöden handlar det om en grundläggande fråga: Hur mycket ansvar kan överlåtas till en AI-agent utan att företaget samtidigt ger den för stor tillgång till sina system?
Vad får en AI-agent göra i företagets system?
En AI-agent skiljer sig från en vanlig chattbot genom att den inte bara svarar på frågor. Den kan också använda verktyg, hämta information och genomföra uppgifter i andra system.
Microsoft använder en agent som hanterar anställdas utlägg som exempel. Agenten kan behöva läsa kvitton, kontrollera företagets regler och godkänna enklare utgifter.
Däremot behöver den inte kunna ändra företagets samtliga ekonomiska uppgifter eller genomföra stora utbetalningar.
| Vad agenten vill göra | Hur åtkomsten kan begränsas |
|---|---|
| Läsa dokument | Endast information som behövs för uppdraget |
| Ändra uppgifter | Särskild skrivbehörighet krävs |
| Godkänna ärenden | Rutinbeslut kan tillåtas inom bestämda gränser |
| Utföra känsliga åtgärder | Kan stoppas eller kräva mänskligt godkännande |
Det här är exempel på hur säkerhetsmodellen är tänkt att fungera. Vilka handlingar som faktiskt tillåts beror på företagets inställningar och vilka system som är anslutna.
Microsofts nya funktion Dynamic Permissions ska göra det möjligt att ge agenten behörigheter för ett specifikt uppdrag och sedan dra tillbaka dem när de inte längre behövs.
Det minskar behovet av att ge AI-agenter omfattande och permanent åtkomst.
Guardian Agents ska övervaka andra AI-agenter
En central nyhet är Guardian Agents, särskilda säkerhetsagenter som ska övervaka vad andra AI-agenter gör.
Tanken är att övervakningen ska pågå under hela arbetsprocessen, inte bara när en agent först får tillgång till ett system.
Microsoft beskriver flera funktioner som ska samverka:
- Guardian Agents ska upptäcka misstänkt beteende och kunna föreslå eller utlösa skyddsåtgärder.
- Dynamic Agent Risk ska bedöma hur riskfylld en agent är utifrån dess beteende och arbetsuppgifter.
- Dynamic Permissions ska begränsa vilka behörigheter agenten får använda.
- Dynamic Conditional Access ska kunna anpassa åtkomsten efter risknivå och typ av handling.
En agent som normalt bara läser dokument kan exempelvis börja försöka ändra information som ligger utanför uppdraget.
Då ska säkerhetssystemet kunna reagera och begränsa agentens möjligheter.
Microsoft beskriver tekniken i sin genomgång av de nya säkerhetsfunktionerna.
Skillnaden mellan övervakning och en riktig spärr
Att ett AI-system identifierar ett misstänkt beteende betyder inte automatiskt att handlingen stoppas.
Det är den viktigaste skillnaden i Microsofts satsning.
En Guardian Agent kan bedöma att en viss åtgärd är riskfylld. Men för att faktiskt hindra den måste ett behörighetssystem eller en annan teknisk kontroll neka åtkomsten.
Microsoft Entra kan exempelvis kontrollera om en agent får tillgång till en tjänst. Om agenten saknar rätt behörighet kan åtkomsten nekas oavsett vad AI-systemet självt anser om handlingen.
Det finns samtidigt begränsningar.
Entras åtkomstregler fungerar för anslutningar som använder dess autentisering. Om en AI-agent använder en separat API-nyckel till ett externt system omfattas den anslutningen inte automatiskt av samma regler.
Inte heller innebär en ändrad riskbedömning nödvändigtvis att en redan utfärdad åtkomst omedelbart upphör. Det beror bland annat på hur den anslutna tjänsten hanterar åtkomsttoken och återkallelser.
Företag behöver därför veta vilka system som faktiskt skyddas, inte bara vilka agenter som syns i övervakningen.
När måste en människa godkänna?
Microsoft beskriver möjligheten att kräva mänskligt godkännande innan särskilt ingripande åtgärder utförs.
Det kan exempelvis handla om att en säkerhetsagent vill inaktivera ett användarkonto eller isolera en dator från företagets nätverk.
En ansvarig person kan då få ta ställning till åtgärden innan den genomförs.
Men det innebär inte att Microsoft automatiskt kräver mänskligt godkännande för varje känsligt företagsbeslut. Det beror på vilka regler som införts och om systemen stöder kontrollen.
För ett företag kan det därför vara rimligt att låta AI godkänna mindre rutinutlägg, medan större belopp alltid kräver en ansvarig medarbetare.
Kan skyddet hindra manipulerade instruktioner?
En risk med AI-agenter är att de kan möta instruktioner som inte kommer från användaren, exempelvis i ett dokument eller mejl som agenten ska läsa.
Ett manipulerat kvitto skulle kunna innehålla en uppmaning att ändra betalningsuppgifter eller lämna ut känslig information.
Sådana angrepp brukar kallas prompt injection.
Övervakningen kan hjälpa till att identifiera avvikande beteenden, men den avgörande säkerhetsfrågan är om agenten över huvud taget har teknisk möjlighet att följa instruktionen.
En agent som saknar behörighet att ändra betalningsmottagare kan inte genomföra den ändringen genom en åtkomstväg där behörigheten verkligen kontrolleras.
Microsoft har tidigare presenterat teknik som isolerar AI-agenter i Windows. Den nya satsningen går längre genom att kombinera övervakning med anpassade behörigheter. Vi har tidigare beskrivit Microsofts säkerhetsspärrar för lokala AI-agenter.
Det finns dock ännu inga identifierade oberoende tester som visar hur effektivt just de nya Guardian Agents-funktionerna stoppar verkliga angrepp.
Microsofts beskrivningar ska därför ses som produktens avsedda funktioner, inte som bevis för ett fullständigt skydd.
När kommer skyddet och vad kostar det?
De nya funktionerna i Project Perception är ännu inte allmänt tillgängliga.
Microsoft beskriver Project Perception som en begränsad förhandsversion för inbjudna kunder. Bredare tillgänglighet väntas i anslutning till Microsoft Ignite i november 2026, men något definitivt datum för svenska företag har inte bekräftats.
Den bredare tjänsten Microsoft Agent 365 finns däremot redan att köpa.
Microsofts svenska listpris för Agent 365 är 143,40 kronor per användare och månad, exklusive moms, med årsbetalning. Microsoft 365 E7, där Agent 365 ingår, kostar enligt den svenska prislistan 1 013,97 kronor per användare och månad på motsvarande villkor.
För villkorsstyrd åtkomst krävs enligt Microsofts dokumentation Agent 365 tillsammans med lämpliga Entra- eller Microsoft 365-licenser. Riskbaserade åtkomstregler ställer högre licenskrav än grundläggande åtkomstkontroller.
Det är däremot inte fastställt att samtliga nya Project Perception-funktioner ingår i det ordinarie Agent 365-priset när de blir tillgängliga.
Företag behöver också ta hänsyn till att övervakningen kan samla in information om agenternas aktiviteter och de uppgifter de behandlar. Det skapar egna frågor om dataskydd och vilka personer som får granska materialet.
Vad behöver företagen kontrollera?
Microsofts nyheter visar hur säkerheten behöver utvecklas när AI-agenter får större ansvar i verksamheten.
Men även med avancerad AI-övervakning behöver företagen själva bestämma vilka uppgifter agenterna ska få utföra.
Det gäller särskilt åtkomst till ekonomisystem, kunduppgifter, personalinformation och möjligheten att ändra eller radera dokument.
En bra utgångspunkt är att skilja mellan tre frågor: Vad får agenten läsa, vad får den ändra och vilka beslut måste godkännas av en människa?
Därefter behöver företaget kontrollera att begränsningarna verkligen upprätthålls i varje anslutet system.
Microsofts nya övervakning kan bli ett viktigt komplement till traditionell IT-säkerhet. Men ett larm om att en AI-agent gör fel är inte samma sak som en teknisk spärr som hindrar den från att göra det.