Lokale KI-Agentenerkennung mit Microsoft Defender for Endpoint

Lokale KI-Agents werden mit Berechtigungen auf Benutzerebene ausgeführt und können auf den Geräten, auf denen sie arbeiten, auf Dateien, Tools und Dienste zugreifen. Ohne Transparenz darüber, welche Agenten im Einsatz sind und worauf sie zugreifen können, können Sicherheitsteams die Gefährdung nicht bewerten, keine Governance-Vorgaben durchsetzen und nicht auf agentenbezogene Vorfälle reagieren.

Microsoft Defender kann lokale KI-Agenten und deren konfigurierte MCP-Server entdecken, nachdem es die Agentenaktivität auf den Onboard-Geräten beobachtet hat, und diese dann im Microsoft Defender-Portal anzeigen. Dies verschafft den Sicherheitsteams einen zentralen Überblick über die KI-Agenten, die in der Organisation eingesetzt werden.

Erfahren Sie, wie die lokale KI-Agentenerkennung funktioniert, überprüfen Sie die Abdeckung von Agenten und MCP-Serverkonfigurationen und sehen Sie sich entdeckte Agenten im Microsoft Defender-Portal an.

Lokale Erkennung von KI-Agenten auf Endgeräten

Defender listet einen lokalen KI-Agenten auf, nachdem er Agentenaktivitäten auf einem eingebundenen Gerät beobachtet hat. Die Installation eines Agenten garantiert nicht allein, dass der Agent im lokalen KI-Agenteninventar erscheint. Ein installierter Agent könnte erst erscheinen, wenn Defender die Aktivität des Agenten beobachtet.

Die lokale KI-Agentenerkennung ist kein vollständiges Inventar installierter Software. Sie bietet Sicherheitskontext für Agents auf Endpunkten, die Defender beobachtet, einschließlich des mit der Aktivität verknüpften Geräts und Kontos. Um bekannte auf Geräten installierte Software zu überprüfen, verwenden Sie das Software-Inventar in Microsoft Defender Vulnerability Management.

Wenn Defender einen lokalen KI-Agenten identifiziert, wird der Agent als auffindbares Asset im Microsoft Defender-Portal angezeigt, mit Transparenz in:

• Lokaler KI-Agent-Bestand: Eine zentrale Ansicht der ermittelten lokalen KI-Agents mit Geräte- und Benutzerzuordnungen und Ermittlungsmetadaten.
• Expositionskarte: Visuelle Beziehungen zwischen lokalen KI-Agents, Geräten, Identitäten und den Ressourcen, auf die diese Identitäten zugreifen können, um potenzielle Auswirkungen zu bewerten.
• Erweiterte Suche: Suchen nach Ermittlungsdaten mithilfe von Kusto-Abfragesprache (KQL), um lokale KI-Agents und die Ressourcen zu untersuchen, auf die sie basierend auf den Berechtigungen des Benutzers zugreifen können, der sie ausführt.

Unterstützte lokale KI-Agents und MCP-Serverkonfigurationen

Defender definiert einen Agent als Kombination aus einem Benutzer, einem Gerät und einem Agent-Typ. Wenn Claude Code beispielsweise in 15 verschiedenen Projektordnern auf demselben Gerät für denselben Benutzer ausgeführt wird, wird er als einzelner Agenteintrag im Bestand angezeigt.

Defender entdeckt lokale KI-Agenten auf Windows- und macOS-Endpunkten. Dies umfasst Agents, die über die Befehlszeile ausgeführt werden, Desktop-Apps, agentische IDEs, VS Code-Erweiterungen und Claw-basierte lokale Agent-Implementierungen. Microsoft Defender kann auch lokale und entfernte MCP-Serverkonfigurationen entdecken, die mit diesen Agenten verbunden sind.

Für die Abdeckung nach Agent-, Betriebssystem- und MCP-Server-Konfiguration siehe Microsoft Defender for Endpoint AI Agent-Unterstützungsmatrix.

Mitarbeiter von Defender haben mithilfe des Agents MCP-Serverkonfigurationen entdeckt. Die verfügbaren Konfigurationsdetails können den Servernamen, Typ, Endpunkt und den Befehl zum Start eines lokalen MCP-Servers umfassen. Ein Agent kann mehrere konfigurierte MCP-Server haben. Um diese Details abzufragen, siehe Überprüfen Sie die MCP-Server und Tools, die lokale KI-Agenten nutzen.

Informationen dazu, wie Sie lokale KI-Agenten finden und anzeigen, finden Sie unter Lokale KI-Agenten finden.

Umfassendere KI-Sicherheitsfunktionen

die Ermittlungsfunktionen von Microsoft Defender sind Teil eines umfassenden KI-Sicherheitsansatzes. Microsoft Defender bietet weitere Funktionen im KI-Ökosystem Ihrer Organisation:

• Entdecken Sie Cloud- und Plattform-Agents: Suchen Sie Agents, die mit Microsoft Copilot Studio, Microsoft Foundry, Amazon Web Services (AWS) Bedrock und Google Cloud Platform (GCP) Vertex KI erstellt wurden.
• Erkennen und untersuchen Sie Bedrohungen: Korrelieren Sie Warnungen und untersuchen Sie verdächtiges Verhalten von Agenten in Ihrer Sicherheitsinfrastruktur.

Ausführliche Informationen zu diesen Funktionen und deren Anwendung finden Sie unter Schützen von KI-Ressourcen vor neuen Bedrohungen und Sicherheitsrisiken mithilfe von Microsoft Defender.