Protezione runtime dell'agente di intelligenza artificiale con Microsoft Defender per endpoint (anteprima)

Gli agenti di intelligenza artificiale locali, inclusi gli assistenti di codifica, gli strumenti dell'interfaccia della riga di comando, le app desktop per intelligenza artificiale e le piattaforme degli agenti autonomi, vengono eseguiti con privilegi utente sugli endpoint. Questi agenti agiscono su testo da richieste, file, contenuto Web e output degli strumenti e non possono separare in modo affidabile il contenuto attendibile dalle istruzioni nascoste. Una singola istruzione inserita può usare in modo improprio l'accesso dell'agente per esfiltrare dati, modificare il codice o eseguire comandi dannosi.

Microsoft Defender fornisce la protezione del runtime dell'agente di intelligenza artificiale controllando i punti chiave nel ciclo dell'agente: richieste utente, richieste di strumenti prima dell'esecuzione e risposte degli strumenti dopo l'esecuzione. Questo consente di rilevare iniezioni di prompt e azioni dell'agente ad alto rischio, sottoporle ad audit e bloccare le azioni supportate prima che vengano eseguite. Defender supporta due approcci di ispezione: l'ispezione degli eventi nativa dell'agente per gli agenti che espongono interfacce evento supportate dal fornitore e l'ispezione di rete per gli agenti che comunicano tramite percorsi di rete supportati. Per altre informazioni sul modo in cui la protezione del runtime controlla e blocca l'inserimento delle richieste, vedere Quale protezione di runtime rileva e Come funziona.

Questo articolo spiega cosa blocca la protezione in fase di esecuzione, come funziona e come esaminare i rilevamenti.

Cosa rileva la protezione di runtime

La protezione in fase di esecuzione prende di mira la minaccia principale per gli agenti di IA locali: il prompt injection, che consiste in istruzioni dannose nascoste all'interno di contenuti altrimenti legittimi che un agente legge e su cui poi agisce. Defender esamina i tre punti in cui il contenuto entra o esce dal processo di ragionamento dell'agente: la richiesta dell'utente, le chiamate agli strumenti che l'agente sta per effettuare e le risposte che tali strumenti restituiscono. Questo approccio rileva l'inserimento indipendentemente dalla posizione di origine del contenuto, sia che si tratti di un file, di una pagina Web, di un repository o dell'output di uno strumento.

Ad esempio, un agente di codifica recupera la documentazione di un progetto per rispondere a una domanda e la pagina contiene testo nascosto che indica all'agente di leggere il file con estensione env locale e di pubblicarne il contenuto in un URL esterno. L'agente tratta l'istruzione come parte della pagina e sta per eseguirla, ma Defender rileva l'iniezione di prompt nella risposta dello strumento e blocca l'azione prima che qualsiasi dato lasci il dispositivo.

Come funziona

La protezione di runtime usa due approcci per esaminare l'attività dell'agente:

Ispezione degli eventi nativa dell'agente

L'ispezione nativa degli eventi dell'agente utilizza interfacce per eventi supportate dal fornitore ed esposte dall'agente. Queste interfacce forniscono checkpoint strutturati nel flusso di lavoro dell'agente, ad esempio quando un utente invia una richiesta, quando l'agente richiede di usare uno strumento o dopo che uno strumento restituisce una risposta. Agenti come Claude Code, la CLI di Codex e GitHub Copilot CLI espongono queste interfacce per eventi e Defender le usa per esaminare l'attività degli agenti e applicare decisioni di verifica o blocco, ove supportato

Quando un agente espone un'interfaccia evento dell'agente supportata dal fornitore, Defender riceve i payload nelle fasi principali del ciclo agentico:

• Richiesta utente: richiesta inviata all'agente.
• Chiamata pre-strumento: la richiesta di invocazione dello strumento prima dell'esecuzione.
• Risposta post-strumento: la risposta dello strumento dopo il completamento dell'esecuzione.

Defender analizza questi payload per rilevare l'iniezione di prompt e le attività degli agenti ad alto rischio. Defender può monitorare o bloccare l'attività in ciascun punto evento supportato. A seconda del tipo di evento, il blocco può impedire l'elaborazione della richiesta, impedire l'esecuzione di un'azione dello strumento richiesta o impedire che una risposta dello strumento continui nel ciclo dell'agente.

Ogni scansione è un rapido controllo in linea in corrispondenza di uno di questi eventi, anziché un monitoraggio continuo del processo dell'agente, quindi la latenza aggiuntiva è minima.

Per la documentazione del fornitore relativa a queste interfacce per gli eventi dell'agente, vedi la documentazione di Claude Code, la documentazione di Codex CLI e la documentazione di GitHub Copilot.

Ispezione di rete

L'ispezione di rete estende la protezione in fase di esecuzione agli agenti che non espongono interfacce per eventi native dell'agente. Invece di basarsi sugli eventi strutturati dell'agente, Defender ispeziona i flussi di rete supportati tra l'agente e il Large Language Model (LLM) per rilevare l'iniezione di prompt in transito.

Usare l'ispezione di rete quando si vogliono proteggere gli agenti che comunicano con i servizi LLM in rete, ma non espongono un'interfaccia evento supportata dal fornitore. Ciò consente di chiudere il gap di copertura per gli agenti che altrimenti non avrebbero alcuna protezione di runtime prima o durante l'interazione con il modello.

Cosa accade quando si abilita la protezione di runtime

Una volta abilitato su un dispositivo, Defender ispeziona gli agenti supportati nei relativi punti di aggancio mentre gli utenti operano, senza modificare il modo in cui l'agente viene eseguito. Ciò che accade dopo un rilevamento dipende dalla modalità configurata:

• Blocco: Defender blocca la minaccia e segue le regole di notifica configurate per il dispositivo. Defender notifica all'utente sia nell'interfaccia utente dell'agente che tramite una notifica popup di Windows. Il rilevamento viene registrato nella cronologia di protezione di Defender nel dispositivo e viene inviato un avviso di sicurezza a Defender, correlato agli eventi imprevisti che il SOC deve analizzare.
• Revisione: Defender consente all'azione di continuare e registra il rilevamento. Un avviso di sicurezza continua a essere generato in Defender per l'indagine.
• Disabilitato: La protezione di runtime è disattivata. Defender non analizza l'attività degli agenti e gli agenti vengono eseguiti senza rilevamento né blocco delle iniezioni di prompt.

Microsoft consiglia di iniziare in modalità di controllo per osservare i rilevamenti e convalidare l'accuratezza prima di passare alla modalità di blocco per l'imposizione attiva. L'impostazione di protezione del runtime è protetta dalla protezione da manomissioni, che impedisce modifiche non autorizzate e funziona insieme ai controlli di Defender esistenti.

Per i passaggi di configurazione, vedere Abilitare la protezione di runtime.

Indagine

Quando la protezione in fase di esecuzione rileva un'iniezione di prompt, Defender genera l'avviso Sospetta iniezione di prompt di intelligenza artificiale e correla le attività correlate in incidenti per l'analisi.

Per il flusso di lavoro di analisi completo, incluse le esperienze utente e SOC, vedere Esaminare e analizzare i rilevamenti.

Agenti supportati

La tabella seguente elenca gli agenti di intelligenza artificiale locali che Defender supportano per la protezione in fase di esecuzione tramite l'ispezione degli eventi nativa dell'agente.

Funzionalità di sicurezza di intelligenza artificiale più ampie

Le funzionalità di protezione del runtime di Defender fanno parte di un approccio completo alla sicurezza dell'intelligenza artificiale. Defender offre altre funzionalità nell'ecosistema di intelligenza artificiale dell'organizzazione:

• Individuare gli agenti di intelligenza artificiale locali: rilevare automaticamente gli agenti di intelligenza artificiale locali supportati e le configurazioni del server MCP nei dispositivi. Per altre informazioni, vedere Individuazione dell'agente di intelligenza artificiale locale con Microsoft Defender per endpoint.
• Individuare gli agenti cloud e della piattaforma: trovare gli agenti creati con Microsoft Copilot Studio, Microsoft Foundry, Amazon Web Services (AWS) Bedrock e Google Cloud Platform (GCP) Vertex AI.
• Valutare il comportamento di sicurezza: valutare le configurazioni degli agenti, identificare i rischi, ottenere raccomandazioni con priorità e percorsi di attacco di superficie.
• Rilevare e analizzare le minacce: correlare gli avvisi e analizzare il comportamento degli agenti sospetti nell'infrastruttura di sicurezza.

Per informazioni dettagliate su queste funzionalità e su come applicarle, vedere Proteggere gli asset di intelligenza artificiale da minacce e vulnerabilità emergenti usando Microsoft Defender.

Passaggi successivi

• Configurare la protezione runtime dell'agente di intelligenza artificiale con Microsoft Defender per endpoint
• Individuazione dell'agente di intelligenza artificiale locale con Microsoft Defender per endpoint