CONTROL PLANE · GA
Microsoft Agent 365
统一注册、可观测、生命周期治理，并连接 Entra、Purview、Defender 与 Intune。
Agent Registry / Agent Map策略模板与生命周期Agent 365 SDK / CLI工具访问与统一可观测
MICROSOFTSecurity + Azure
AIDR CUSTOMER SOLUTION BRIEF
企业 AI 检测与响应参考方案
从分散 AI 使用
走向统一治理
以 Microsoft Agent 365 为控制平面，结合 Defender、Purview、Entra、Intune、Sentinel 与 Azure AI Gateway，覆盖 Agent、AI 应用、数据和运行时风险。
Observe资产与使用可见
Govern身份与生命周期
Protect数据与运行时
Respond调查与响应
Microsoft｜客户方案讨论材料基于客户 AIDR 需求整理 · 能力范围需按许可与支持矩阵核验
01客户需求理解
FROM TELEMETRY TO CONTROL
AIDR 不是“多收一份日志”，而是建立 AI 行为控制面
把用户、设备、Agent、会话和真实副作用关联起来，并在可控执行路径上做出策略决策。
END-TO-END CONTEXT
用户身份 / 权限
设备OS / 合规
AI 工具CLI / IDE / Web
会话Prompt / Response
工具调用Skill / MCP
副作用命令 / 文件 / 网络
看得见什么？
哪些 Agent、MCP 和 AI 应用正在被谁使用。
能解释什么？
一次 Prompt 如何演变成文件、命令或网络操作。
能控制什么？
哪些动作可以记录、提醒、确认或执行前阻断。
如何进入运营？
风险如何调查、留证、响应和持续优化。
Shadow AI网页、桌面和模型 API 绕过统一治理。
数据泄露Prompt、文件和工具参数携带敏感信息。
Agent 越权继承用户权限并产生真实业务副作用。
供应链风险未知 Skill、插件和 MCP 形成攻击链。
本页结论：方案必须同时覆盖资产发现、数据保护、Agent 运行时安全和统一检测响应。
AIDR 需求模型发现 → 关联 → 检测 → 控制 → 追溯
02Microsoft 产品组合
ONE CONTROL PLANE · FOUR SECURITY PILLARS
以 Agent 365 为控制平面，复用现有 Microsoft Security 投资
不是再建设一套孤立安全平台，而是把 Agent 治理纳入身份、数据、端点与 SOC 的既有控制体系。
发现 AI 与 Agent
Defender for Cloud AppsShadow AI
Global Secure Access网络与 SaaS MCP
Defender for Endpoint本地 Agent
Defender Security for AI统一资产风险
治理身份和访问
Microsoft EntraAgent ID / CA
Microsoft Intune设备与端点策略
Agent 365 Registry所有者与发布
Least Privilege人、Agent、工具
保护 AI 中的数据
Purview DSPMAI 活动与风险
DLP / Browser Security外发控制
Audit / eDiscovery留痕调查
Insider Risk高风险行为
保护运行时并响应
Microsoft Defender姿态与实时保护
Defender XDR跨域调查
Microsoft SentinelSIEM / SOAR
Security Copilot调查提效
产品策略Microsoft 原生控制优先；只在不支持的工具、平台和语义上增加扩展层
03按使用路径选择产品
COVERAGE BY AI SURFACE
不同 AI 使用路径，需要不同的发现与控制方式
产品组合的价值不在“全部流量都走一个网关”，而在每条使用路径选择最合适的控制点。
AI SURFACE 01网页与 SaaS AI
ChatGPT / Gemini / Claude浏览器和公共 AI 网站
Defender for Cloud AppsPurview DSPM / DLPGlobal Secure AccessBrowser Data Security
发现与数据外发控制风险评分、提示或阻断敏感交互
AI SURFACE 02本地 AI Agent
Codex / Claude / CursorCLI、IDE、Desktop、本地 MCP
Defender for EndpointLocal Agent DiscoveryRuntime ProtectionAdvanced Hunting
Agent 与 MCP 可见关联用户设备，按支持矩阵审计或阻断
AI SURFACE 03企业 Agent 平台
Copilot Studio / FoundryMicrosoft 与已集成第三方 Agent
Microsoft Agent 365Defender Security for AIEntra Agent IDPurview AI Controls
统一治理与运行时安全注册、身份、工具、数据、姿态与威胁
AI SURFACE 04模型 / MCP API
Azure / 多模型 / 远程 MCP企业自研 AI 应用
Azure API ManagementAI Gateway capabilitiesContent SafetyDefender for Cloud
统一入口与策略身份、配额、路由、内容安全和遥测
EXTENSION SURFACE未知 / 不支持工具
自研 Boldwork / 新工具无原生连接器或标准事件接口
Agent 365 SDK / CLISentinel Logs Ingestion自定义 Hook / Adapter端侧与网关扩展点
增量补齐覆盖只补资产、会话语义与同步控制缺口
产品支持取决于 OS、Agent、接口、协议、许可和区域。AGENT 365 · GA 部分本地运行时能力 · PREVIEW
覆盖原则原生优先 · 路径化治理 · 支持矩阵透明 · 扩展层最小化
04端到端参考架构
MICROSOFT-NATIVE FIRST
把实时控制路径与检测响应路径分开设计
实时阻断发生在 Agent、端点、浏览器、网络或 API Gateway；Sentinel 负责统一检测、调查和异步响应。
实时控制平面｜策略在执行前生效DISCOVER · GOVERN · PROTECT
A365
Agent 365Registry、生命周期、工具访问与可观测。
ENT
Entra + IntuneAgent 身份、条件访问与设备策略。
SEC
Defender + PurviewAI 发现、数据保护、姿态与运行时。
APIM AI Gateway身份、路由、配额、内容安全和遥测。
检测响应平面｜统一证据、风险与事件DETECT · INVESTIGATE · RESPOND
Event Hubs自定义 Agent 和适配器事件接入。
Data Explorer高吞吐会话、行为链与风险分析。
Sentinel / XDR检测、事件、调查、狩猎与响应。
SC
Security Copilot摘要、KQL、狩猎与响应提效。
Purview分类、DLP、Audit、eDiscovery
Defender资产、姿态、运行时与事件
AzureKey Vault、Private Link、Monitor
ExtensionAgent 365 SDK、Hook / Adapter
架构结论原生产品承载主要治理；自定义数据面只补差异化审计和未覆盖工具
05需求—产品能力映射
REQUIREMENT TRACEABILITY
Microsoft 原生能力覆盖主体，扩展层补齐长尾
用于确认产品适配方向，不替代正式许可评估和逐工具 PoC。
| 客户需求 | Microsoft 产品能力 | 补齐扩展点 | 建议定位 |
|---|---|---|---|
| Agent / Skill / MCP 资产发现 | Agent 365、Defender Security for AI、MDE、Cloud Apps、GSA | 未知格式、Linux、自研工具扫描或 SDK | 原生为主 |
| 用户、设备、Agent、会话关联 | Entra、Agent ID、Defender 上下文、Agent 365 可观测 | 跨工具 Session ID 和事件归一 | 原生 + 关联 |
| Prompt、响应与 Tool 审计 | Purview Audit / DSPM、Defender 行为、GSA、APIM 日志 | 不支持 Agent 的 Hook 和语义采集 | 依支持矩阵 |
| 命令、文件与网络行为 | Defender for Endpoint、Purview Endpoint DLP、GSA | Agent 意图归因、本地确认、Linux 控制 | 双信号关联 |
| 敏感信息与凭据 | Purview DSPM / DLP / Browser Data Security、Defender | 企业专属密钥和 Secret 检测器 | 数据安全主导 |
| Prompt 注入与危险动作 | Defender runtime protection、Prompt Shields、APIM policy | 未支持 Agent、业务授权与后置检查 | 分层防护 |
| 提醒、阻断、确认继续 | Defender、Purview DLP、GSA / Cloud Apps、APIM | 只有接口可暂停时才支持自定义确认 | 控制点决定 |
| 事件中心与自动化响应 | Defender XDR、Sentinel、Logic Apps、Security Copilot | 业务审批、ITSM 与专属视图（如需） | 原生主导 |
映射原则先启用原生能力，再根据真实缺口决定是否开发 Sensor、Adapter 或统一 Portal
06建议落地路径
ASSESS · PILOT · SCALE
先形成可见性基线，再对高置信度风险启用控制
避免一开始就追求“全工具、全平台、全阻断”；试点优先验证原生覆盖和最少必要扩展。
Assessment
- 盘点许可和安全基础
- 确认 3–5 个优先工具
- 建立 Agent / OS 支持矩阵
- 确定隐私和采集边界
Pilot
- 启用资产、数据和运行时信号
- 验证 5–10 个高风险场景
- Audit 模式逐步切换 Block
- 接入 Defender XDR / Sentinel
Scale
- 推广策略模板和例外流程
- 补齐未支持 Agent / Linux
- 建立工具生命周期治理
- 运营覆盖、误报和响应 SLA
资产覆盖工具 / 终端
身份关联用户 / Agent
检测质量召回 / 误报
控制体验时延 / 影响
运营闭环事件 / 响应
落地策略Audit first · High-confidence block · Transparent coverage · Measure user impact
07客户讨论与下一步
JOINT DECISIONS
建议本次会议先确认六项关键决策
产品方向确认后，再进入许可核验、支持矩阵确认和 PoC 设计。
01
优先保护对象
网页 AI、本地 Coding Agent、企业 Agent 平台，还是模型 / MCP API？
02
现有 Microsoft 基础
Agent 365、E5、Defender、Purview、Intune、Sentinel 现状如何？
03
内容采集边界
保存全文，还是仅保存元数据、命中片段与证据引用？
04
控制策略
凭据外发、敏感文件、未知 MCP、高危命令如何分级处置？
05
平台优先级
Windows、macOS、Linux 的规模和必须具备的控制等级？
06
试点验收
覆盖率、关联率、误报、时延和事件响应如何衡量？
建议下一步：Microsoft 产品能力评估工作坊确认许可、部署基础、Agent/OS 支持矩阵和风险优先级。
工作坊输出：可执行 PoC 设计范围、架构、产品配置、扩展点、测试用例和验收指标。
目标从“产品能做什么”走向“客户首批场景怎么做、如何验证”