Microsoft 于 2026 年 8 月 27 日分享一项名为 Securing AI Agents 的 Customer Zero 计划。参与者不是在孤立的 demo 环境中试用 Agent，而是在 Microsoft Digital 的企业租户内，以接近真实工作的条件，测试 AI Agent 如何与端点、身份、数据、网络和运行时防护一起工作。
这项工作由 Microsoft Digital、Windows、Entra、Intune、Defender、Purview 和 Microsoft Security 等团队共同推进。Microsoft 表示，最初为 Microsoft Build 准备的两周 sprint，最后扩大成超过 70 名利益相关者参与的跨团队项目。试点使用专用的 Windows 365 Cloud PC，约 100 名内部用户可以在一个与企业连接、但容易隔离和重置的环境中，执行开发者常见的 Agent 工作。
测试堆栈包括预装 Copilot CLI 和 OpenClaw 的 Windows 镜像、Cloud PC provisioning、用来区分人与 Agent 的 Entra Agent IDs、Defender runtime protection、Purview data loss prevention、Intune 设备及 Agent 配置策略，以及 Global Secure Access 的运行时网络控制。这个清单的重点不是某一个安全产品，而是让一次 Agent 动作能够在不同控制层留下可追踪的身份和策略信号。
Microsoft 特别强调分开人类身份和 Agent 身份。如果 Agent 借用用户账户，访问判断、审计和事故处理都会混在一起；如果 Agent 有自己的身份，管理员才可以设置不同权限、检查它做过的动作，并在需要时撤销或隔离。这并不会自动解决错误授权或 prompt injection，但会让责任边界更清楚。
选择 Windows 365 Cloud PC 也有实际含义。Microsoft 将它描述为一个非主要工作设备，让团队可以在接近真实使用的条件下试验，同时保留快速隔离、重置和分阶段推送的能力。企业要测试的不只是 Agent 回答是否正确，还包括策略是否真的拦截数据移动、网络限制是否在实际流量下生效、设备改动能否被回溯，以及人员能否在高风险动作前接管。
这篇分享属于 Microsoft 自己的 Customer Zero 经验和产品蓝图，不是独立安全审计或普遍成功率报告。它的价值在于把企业 Agent 的安全问题由单一模型评估，拉回一套可运行的控制面：独立身份、受控端点、数据防泄漏、网络策略、运行时监控和逐步 rollout。缺少其中一层，Agent 就可能在测试中看似有效，进入真实租户后却难以治理。
