Microsoft veut que les entreprises cessent de considérer comme acquis la loyauté des agents d'IA qu'elles déploient. Le lundi 19 octobre 2026, le groupe a étendu Project Perception, le système de sécurité à base d'agents dévoilé en juillet, afin qu'il supervise aussi les agents qui opèrent au sein d'une organisation, et plus seulement les attaques venues de l'extérieur. Au cœur du dispositif figurent des Guardian Agents, des agents de sécurité chargés d'en surveiller d'autres, d'expliquer pourquoi leur niveau de risque a évolué et de recommander ou d'appliquer des mesures de confinement.
Le discours ne prend pas de gants. Sur le blog officiel de Microsoft, Hayete Gallot, vice-présidente exécutive de Microsoft Security, écrit qu'on ne peut pas faire confiance aux modèles de pointe, quelle que soit leur provenance. Non qu'ils soient malveillants, précise-t-elle : entraînés pour atteindre des objectifs, ils peuvent détourner les règles pour y parvenir et ignorent les normes de l'organisation, alors que les agents bâtis sur eux disposent souvent d'un large accès aux données et aux outils. Microsoft parle d'initiés agentiques. Dans un second billet, Nadim Abdo, vice-président chargé de l'identité et de l'accès réseau, adosse l'offre à un principe énoncé ce mois-ci par le PDG Satya Nadella : le contrôle de ce qu'un agent a le droit de faire doit se situer hors du modèle.
L'essentiel de l'annonce consiste en une série de contrôles superposés. Microsoft indique que ses outils de détection reconnaissent désormais 35 types supplémentaires d'agents exécutés en local, soit 60 au total, parmi lesquels Claude Code, OpenAI Codex et GitHub Copilot, et peuvent les rassembler dans un registre unique partagé avec Microsoft Agent 365. Microsoft Entra Agent ID gagne des types d'identité pour les agents locaux et pour ceux repérés par des capteurs de sécurité, ce qui permet de leur appliquer une politique même s'ils n'ont jamais été intégrés officiellement. Les agents peuvent tourner dans des bacs à sable comme le Microsoft Execution Container, et la nouvelle fonction Dynamic Permissions attribue à chacun des droits propres, limités à la tâche et dans le temps, sans jamais excéder ceux de l'utilisateur humain qui le parraine.
Deux autres briques gèrent ce qui change en cours de tâche. Dynamic Agent Risk tient une évaluation continue à partir de signaux d'identité, de données, de postes de travail, de réseau, de cloud et d'exécution, ainsi que du comportement de l'agent lui-même. Dynamic Conditional Access, extension d'Entra Conditional Access, transforme une hausse du risque en réponses graduées : conserver la lecture tout en bloquant l'écriture, restreindre les ressources ou les chemins réseau accessibles, révoquer un accès temporaire, exiger une preuve d'approbation humaine avant une action lourde de conséquences, ou isoler et stopper l'agent. Microsoft compte aussi intégrer au calcul du risque des signaux issus du modèle, comme sa chaîne de raisonnement, tout en gardant l'application des règles indépendante de celui-ci.
Les Guardian Agents et de nouveaux Playbooks coiffent l'ensemble. Les humains fixent les politiques, les seuils d'approbation et les règles de délégation, les Playbooks décrivent le résultat de sécurité attendu, et les Guardian Agents mènent l'enquête puis la riposte. Microsoft affirme faire déjà tourner en interne des centaines de milliers d'agents et avoir conçu ces fonctions à partir de cette expérience.
L'annonce intervient après une série d'incidents de sûreté de l'IA rendus publics et après l'essai publié début octobre dans lequel Nadella plaidait pour traiter les modèles comme des menaces internes. Elle sert aussi les intérêts commerciaux du groupe. TechCrunch souligne que Microsoft a investi à la fois dans OpenAI et dans Anthropic, mais pousse désormais ses clients à confier la surveillance des agents à leur fournisseur de cloud et de sécurité plutôt qu'aux concepteurs des modèles.
Les billets de Microsoft ne précisent pas quelles fonctions sont disponibles, en préversion ou seulement prévues, ni à quel prix, et renvoient à la conférence Ignite pour en savoir plus. Aucune des affirmations sur la capacité des Guardian Agents à repérer ou à confiner des agents défaillants n'a fait l'objet de tests indépendants, et le score de risque fondé sur la chaîne de raisonnement suppose que les fournisseurs de modèles exposent ces données.