Microsoft מציגה מודל אבטחה חדש לסוכני AI שבו הסוכן אינו יורש אוטומטית את כל ההרשאות הקבועות של המשתמש. Dynamic Permissions נועדה להעניק לסוכן זהות, הרשאות וסמכות משלו — מוגבלות למשימה הנוכחית ורק למשך הזמן הדרוש לה.
החידוש מופיע בעדכוני Microsoft Security של נובמבר 2026 ומשתלב עם Dynamic Agent Risk ו־Dynamic Conditional Access. יחד הם אמורים לא רק לקבוע מה מותר לסוכן בתחילת המשימה, אלא גם לצמצם את יכולתו בזמן אמת אם ההתנהגות, ההקשר או רמת הסיכון משתנים.
למה הרשאות המשתמש אינן מתאימות לסוכן?
משתמש אנושי עשוי להחזיק גישה רחבה לדואר, מסמכים, מערכות כספיות, מאגרי קוד וכלי ניהול. סוכן שמופעל עבור משימה אחת — למשל בדיקת הוצאה או יצירת דוח — אינו זקוק לכל הסמכויות האלה.
אם הסוכן יורש את הרשאות המשתמש, Prompt Injection או הוראה שגויה עלולים להפוך טעות מוגבלת לפעולה רחבת היקף. Microsoft מציעה להתחיל ללא הרשאות או בעקרון ההרשאה המזערית, להגדיר גבול ארגוני עליון, ולאפשר לסוכן רק את הפעולות והמשאבים שנדרשים למשימה המאושרת.
Dynamic Permissions: סמכות נפרדת ולזמן מוגבל
לפי Microsoft, לכל סוכן צריכה להיות זהות נפרדת מהעובד שמפעיל או מממן אותו. העובד שומר על הגישה שלו, אך הסוכן מקבל הרשאות משלו. המדיניות הארגונית מגדירה את הגבול החיצוני — כולל מניעה מהסוכן להשיג הרשאה שאינה קיימת למשתמש — ולאחר מכן ההרשאות מצטמצמות למשימה ולפרק זמן מוגדר.
כאשר המשימה משתנה או מסתיימת, ניתן לכווץ או להסיר את ההרשאות. פעולות בעלות השפעה גבוהה יכולות לדרוש אישור אנושי מאומת במקום להסתמך על החלטת הסוכן בלבד.
Dynamic Agent Risk: הסיכון אינו ציון חד־פעמי
Dynamic Agent Risk משלב אותות מזהות, מידע, תחנות קצה, ענן, רשת, סביבת הרצה ופעילות הסוכן. המערכת בוחנת כיצד הסוכן מוגדר, לאילו משאבים הוא יכול להגיע, מה עלול להיות הנזק והאם הפעולות שלו מתחילות לסטות מהכוונה של המשתמש או הארגון.
Microsoft מדגישה שלא מדובר בציון שניתן בזמן ההקמה ונשאר קבוע. הערכת הסיכון אמורה להשתנות במהלך העבודה. סוכן יכול להתחיל משימה עם הרשאות נכונות, ואז להיתקל במסמך חיצוני שמכיל Prompt Injection ולנסות פעולה שאינה קשורה למטרה המקורית.
Dynamic Conditional Access: תגובה מדורגת במקום כפתור כיבוי
כאשר הסיכון עולה, Dynamic Conditional Access אמורה לאפשר תגובה מדורגת:
- לשמור הרשאת קריאה אך לחסום כתיבה או אישור.
- לצמצם את רשימת המשאבים והנתונים שהסוכן יכול להגיע אליהם.
- להגביל נתיבי רשת או לקצר הרשאה זמנית.
- לדרוש אישור אנושי מוכח לפני פעולה משמעותית.
- ברמת סיכון גבוהה, לבודד את סביבת ההרצה או לעצור את הסוכן.
כך ניתן להגביל סוכן בעייתי בלי להשבית אוטומטית את המשתמש עצמו או לעצור כל תהליך לגיטימי.
דוגמה: סוכן לאישור הוצאות
סוכן שמטפל בהוצאות יכול לקבל הרשאה לקרוא בקשות, לבדוק מדיניות ולאשר החזרים רגילים עד סכום מוגדר. הוא אינו צריך גישה מלאה לחשבון הבנק, לכל מסמכי הכספים או ליכולת לשנות ספקים.
אם במהלך המשימה הסוכן קורא מסמך לא מהימן ומנסה לבצע פעולה שאינה קשורה להוצאה, הערכת הסיכון משתנה. המדיניות יכולה להסיר את יכולת האישור והכתיבה, לשמור קריאה לצורך חקירה ולדרוש אישור אנושי לפני המשך.
מה ארגונים צריכים להכין
- זהות נפרדת לכל סוכן: בעלים, מטרה, סביבת הרצה ותאריך סיום חייבים להיות ידועים.
- מיפוי משימות והרשאות: להגדיר מה הסוכן צריך לקרוא, לשנות, להפעיל ולאשר.
- גבולות ארגוניים: סוכן לא צריך לקבל סמכות רחבה מזו של המשתמש שמאחוריו.
- נקודות אישור: להחליט אילו פעולות כספיות, משפטיות או תפעוליות דורשות אדם.
- טלמטריה רציפה: לאסוף אותות מהזהות, הנתונים, הרשת, הענן וה־Runtime.
- תרחישי תגובה: לתרגל צמצום הרשאות, חסימת כתיבה, בידוד ועצירה.
חשוב: כיוון מוצרי, לא פתרון קסם
Microsoft מתארת את Dynamic Permissions, Dynamic Agent Risk ו־Dynamic Conditional Access כחלק ממודל האבטחה שלה לסוכנים. ארגונים צריכים לבדוק זמינות, רישוי ותמיכה מדויקים בסביבה שלהם לפני תכנון פריסה. העיקרון עצמו כבר ברור: סוכן AI אינו “עוד משתמש” ואינו צריך לקבל הרשאות קבועות ורחבות רק משום שהוא פועל עבור עובד מורשה.
