สมมติว่าฝ่ายบัญชีของคุณตั้ง AI agent ไว้ตรวจและอนุมัติใบเบิกค่าใช้จ่ายที่อยู่ในวงเงินตามนโยบาย ทุกอย่างเรียบร้อยมาหลายสัปดาห์ จนวันหนึ่งพนักงานแนบใบเสร็จที่เป็น PDF จากผู้ขายภายนอก ในไฟล์มีข้อความซ่อนสั่งให้ agent ส่งรายชื่อผู้ขายพร้อมเลขบัญชีธนาคารออกไปทางอีเมล
agent ยังเป็นตัวเดิม ตั้งค่าเหมือนเดิม สิทธิ์เหมือนเดิม แต่ความเสี่ยงของมันเปลี่ยนไปแล้วตั้งแต่วินาทีที่อ่านไฟล์นั้น ถ้าสิทธิ์ของ agent ถูกกำหนดไว้ครั้งเดียวตอนติดตั้ง ระบบจะไม่รู้เรื่องนี้เลย
ตัวอย่างใกล้เคียงกันนี้ Microsoft ใช้อธิบายประกาศใหม่ด้านความปลอดภัยของ AI agent เมื่อวันที่ 19 ตุลาคม 2569
Microsoft ประกาศอะไร
Nadim Abdo รองประธานฝ่าย Identity and Network Access ของ Microsoft เขียนบทความบน Microsoft Security Blog เมื่อวันที่ 19 ตุลาคม 2569 มองว่า AI agent คือคนในองค์กรแบบใหม่ ทำงานด้วยสิทธิ์จริงและเข้าถึงระบบสำคัญได้ จึงอาจทำผิดพลาด ถูกหลอก หรือถูกยึดได้เหมือนพนักงาน หลักที่บทความใช้คือ "surround non-deterministic intelligence with deterministic controls" หมายถึงให้ตัวควบคุมที่ทำงานแน่นอนอยู่รอบโมเดลที่คาดเดาผลไม่ได้ แทนที่จะหวังให้โมเดลระวังตัวเอง
ประกาศหลักมีสามส่วนที่ทำงานต่อกัน
- Dynamic Permissions ให้ agent เริ่มต้นแบบไม่มีสิทธิ์ ได้เฉพาะสิทธิ์ที่งานซึ่งอนุมัติแล้วต้องใช้ และใช้ได้เท่าที่งานนั้นยังไม่จบ นโยบายระดับองค์กรเป็นเพดาน agent จะได้อำนาจเกินผู้ใช้ที่เป็นเจ้าของไม่ได้ งานที่กระทบสูงกำหนดให้คนอนุมัติก่อนได้
- Dynamic Agent Risk รวมสัญญาณจากตัวตน ข้อมูล อุปกรณ์ คลาวด์ เครือข่าย runtime และพฤติกรรมของ agent เอง ดูทั้งการตั้งค่า ทรัพยากรที่ agent เข้าถึงได้ ผลกระทบที่อาจเกิด และการทำงานที่เริ่มออกนอกเจตนาของผู้ใช้หรือองค์กร ผลที่ได้เป็นคะแนนที่อัปเดตตลอด ไม่ใช่ประเมินครั้งเดียวตอนติดตั้ง
- Dynamic Conditional Access ต่อยอด Microsoft Entra Conditional Access ให้ตอบสนองเมื่อความเสี่ยงเปลี่ยน
ส่วนที่น่าสนใจที่สุดคือการตอบสนองเป็นขั้น บทความไล่ไว้ตั้งแต่ลดสิทธิ์ ให้อ่านได้แต่เขียนไม่ได้ จำกัดข้อมูลและทรัพยากรที่เข้าถึง จำกัดเส้นทางเครือข่าย ย่นหรือยกเลิกสิทธิ์ที่มีกำหนดเวลา บังคับให้มีคนอนุมัติที่พิสูจน์ได้ก่อนทำงานสำคัญ ไปจนถึงขั้นสูงสุดคือแยก runtime หรือหยุดการทำงาน
กลับไปที่ agent อนุมัติเบิกจ่าย ในตัวอย่างของ Microsoft เมื่อ agent เจอเนื้อหาที่ไม่น่าเชื่อถือแล้วพยายามทำสิ่งที่ไม่เกี่ยวกับงาน คะแนนความเสี่ยงจะขึ้น ระบบยังให้ agent อ่านข้อมูลได้ แต่ตัดสิทธิ์อนุมัติและเขียน ปิดทางไปยังทรัพยากรที่อ่อนไหว และให้ขั้นตอนที่กระทบสูงต้องมีคนอนุมัติ ถ้าความเสี่ยงยังขึ้นต่อ ระบบจึงแยกหรือหยุด agent พนักงานยังทำงานต่อได้ ไม่ต้องปิดทั้งระบบทุกครั้งที่มีสัญญาณผิดปกติ
ประกาศเดียวกันยังขยายการค้นหา agent ที่รันบนเครื่องของพนักงานเพิ่มอีก 35 ประเภท รวมเป็น 60 ประเภท เช่น Claude Code, OpenAI Codex และ GitHub Copilot และเพิ่มประเภทตัวตนใน Microsoft Entra Agent ID เพื่อให้แยกได้ว่างานไหนคนทำ งานไหน agent ทำ ส่วนงานติดตามและตอบสนองอัตโนมัติ Microsoft ให้ Guardian Agents ภายใต้ Project Perception ทำ โดยคนยังเป็นผู้กำหนดนโยบายและตัดสินเรื่องสำคัญ
สิ่งที่บทความไม่ได้บอกคือสถานะการใช้งาน บทความไม่ได้ระบุว่าฟีเจอร์ใหม่เหล่านี้เป็นรุ่นทดลองหรือเปิดใช้ทั่วไป และไม่ได้ระบุราคาหรือไลเซนส์ บทความชวนติดตามต่อที่งาน Microsoft Ignite วันที่ 17 ถึง 20 พฤศจิกายน 2569 ส่วนเอกสาร Microsoft Learn ของ Entra Agent ID ระบุว่าการขยายฟีเจอร์ความปลอดภัยของ Entra ไปยัง agent ในปัจจุบันต้องใช้ Microsoft Agent 365 ซึ่งรวมอยู่ใน Microsoft 365 E7 หรือซื้อเพิ่มกับแผน E5, A5 หรือ Business Premium
