Microsoft: KI-Agenten sind Insider

Microsoft hat am 19.10.2026 eine neue Linie für KI-Agenten im Unternehmen ausgegeben: Sie sind Insider. Hayete Gallot, Chefin von Microsoft Security, schreibt im Microsoft-Blog, Unternehmen setzten Agenten intern ein und vertrauten ihnen damit stillschweigend, obwohl diese oft zu weitreichende Rechte hätten. TechCrunch zitiert sie mit dem Satz: "Unfortunately, frontier models, regardless of their origin, cannot be trusted."

Böswillig seien die Modelle nicht, betont Gallot. Sie seien auf Zielerreichung trainiert, was zu Reward Hacking führen kann, und kennen die Regeln des Unternehmens nicht. Wie das bei Coding-Agenten konkret aussieht, beschreibt unser Artikel Reward Hacking: Wenn der Coding-Agent schummelt.

Was angekündigt ist und was schon läuft

Microsoft hat mehrere Dinge gleichzeitig vorgestellt, mit sehr unterschiedlichem Reifegrad.

Funktion	Was sie tut	Stand laut Microsoft
Erkennung lokaler Agenten in Defender for Endpoint	findet Agenten und ihre MCP-Server auf Windows- und Mac-Geräten	dokumentiert, macOS in Preview
Runtime Protection	prüft Prompts und Tool-Aufrufe lokaler Agenten auf Prompt Injection, Audit oder Block	Preview, Windows
Dynamic Permissions	Agent bekommt Rechte nur für eine Aufgabe und nur für deren Dauer	angekündigt, ohne Termin
Guardian Agents	Agenten, die andere Agenten vor jeder Aktion prüfen	angekündigt, ohne Termin

Der Security-Blog spricht bei Dynamic Permissions, Guardian Agents und den neuen Risikobewertungen durchgehend von "introducing", nennt aber weder Datum noch Preview-Status noch Lizenz. Greifbar ist bisher nur der Defender-Teil.

Was Defender über deinen Rechner sieht

Die Erkennung umfasst laut Microsoft jetzt 60 lokale Agenten, 35 mehr als vorher. Die Support-Matrix listet unter anderem Claude Code, Codex CLI, GitHub Copilot CLI, Cursor, Windsurf, Gemini CLI, Junie, OpenCode, OpenClaw, Ollama Desktop, LM Studio, Kimi Code und Qwen Code, dazu die VS-Code-Erweiterungen der großen Anbieter.

Für Entwickler interessant sind drei Details aus der Dokumentation:

Erkannt wird, was läuft, nicht was installiert ist. Defender listet einen Agenten erst, wenn er auf einem verwalteten Gerät aktiv war. Ein Eintrag ist die Kombination aus Person, Gerät und Agententyp. Claude Code in 15 Projektordnern ergibt einen Eintrag.
MCP-Konfigurationen werden mit erfasst. Bei vielen Agenten liest Defender die konfigurierten MCP-Server aus, mit Name, Typ, Endpunkt und dem Startbefehl lokaler Server. Ob dabei auch Parameter mit Zugangsdaten landen, lässt die Doku offen. Tokens gehören ohnehin nicht in den Startbefehl, sondern in Umgebungsvariablen oder einen Secret-Store.
Runtime Protection nutzt die Hooks der Agenten. Bei Claude Code und Copilot CLI hängt sich Defender in die offiziellen Hook-Schnittstellen ein und kann einen Tool-Aufruf blockieren, bevor er läuft. Einige andere, etwa OpenClaw und Ollama Desktop, prüft Defender über den Netzwerkverkehr zum Modell, nicht aber bei Certificate Pinning oder HTTP/3.

Was das für dein Team heißt

Wenn eure IT Defender for Endpoint einsetzt, kann sie sehen, welche Coding-Agenten im Team laufen und welche Tools sie anbinden. Das ist kein Grund zur Sorge, sondern eine Gelegenheit, das Gespräch zu führen, bevor es jemand anders anstößt. Teams, die ihre Agenten ohnehin offen betreiben, mit einer abgestimmten Liste erlaubter Tools und MCP-Server, sind dabei im Vorteil.

Die Grundhaltung, die Microsoft jetzt formuliert, ist nicht neu: Geh davon aus, dass der Agent kompromittiert werden kann, und gib ihm nur die Rechte, die er für die Aufgabe braucht. Wie ein Team das schrittweise umsetzt, vom ersten Pilot bis zum skalierten Einsatz, steht in Coding-Agenten im Team sicher betreiben. Was eine Sandbox dabei leistet und was nicht, erklärt Agenten-Sandbox: Was sie schützt, was nicht.