Lokalne wykrywanie agentów AI za pomocą Ochrona punktu końcowego w usłudze Microsoft Defender

Lokalni agenci sztucznej inteligencji działają z uprawnieniami na poziomie użytkownika i mogą uzyskiwać dostęp do plików, narzędzi i usług na urządzeniach, na których działają. Bez wglądu w to, którzy agenci działają i do czego mogą dotrzeć, zespoły ds. zabezpieczeń nie mogą oceniać narażenia, wymuszać ładu ani reagować na zdarzenia związane z agentem.

Microsoft Defender wykrywa lokalnych agentów AI oraz ich skonfigurowane serwery MCP na wdrożonych urządzeniach. Ujawnia tych agentów w portalu Microsoft Defender. Daje to zespołom bezpieczeństwa scentralizowany widok agentów AI obecnych w organizacji.

Dowiedz się, jak działa lokalne wykrywanie agentów AI, przejrzyj zakres obsługi dla agentów i konfiguracji serwerów MCP oraz przeglądaj wykrytych agentów w portalu Microsoft Defender.

Wykrywanie lokalnych agentów AI na urządzeniach końcowych

Odkrywanie zależy od rodzaju agenta. W przypadku odkrywania na podstawie procesów Defender identyfikuje agenta, gdy obserwuje uruchomiony proces agenta. Użytkownik nie musi wysyłać promptu ani mieć uprawnień do korzystania z usługi agenta. Wpis w inwentarzu nie jest dowodem aktywnego użytkowania ani pomyślnego dostępu do usługi AI.

Na Windows i macOS wdrożony klient Defender for Endpoint okresowo zbiera również dane o zainstalowanych rozszerzeniach VS Code na punkcie końcowym. Klient musi działać i raportować. Wykrywanie inwentarza agentów przez tę kolekcję nie wymaga aktywnego trybu antywirusowego ani rozszerzenia do działania. Zobacz wpisy oznaczone przypisem 1 oraz ich status podglądu w macierzy wsparcia.

Wykrywanie konfiguracji serwera MCP nadal wymaga aktywnego trybu antywirusowego i ochrony w czasie rzeczywistym. Szczegóły i wymagania znajdziesz w wymaganiach wstępnych dotyczących lokalnego wykrywania agentów AI.

Lokalne wykrywanie agentów AI to nie jest pełny inwentarz zainstalowanego oprogramowania. Zapewnia kontekst bezpieczeństwa dla agentów, których Defender obserwuje na urządzeniach końcowych, w tym urządzenie i konto powiązane z agentem. Aby przejrzeć znane oprogramowanie zainstalowane na urządzeniach, użyj funkcji Inwentaryzacja oprogramowania w Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender.

Gdy Defender zidentyfikuje lokalnego agenta AI, agent ten jest wyświetlany jako wykrywalny zasób w portalu Microsoft Defender z wglądem w:

• Lokalny spis agentów sztucznej inteligencji: scentralizowany widok odnalezionych lokalnych agentów sztucznej inteligencji z skojarzeniami urządzeń i użytkowników oraz metadanymi odnajdywania.
• Mapa ekspozycji: Wizualne relacje między lokalnymi agentami sztucznej inteligencji, urządzeniami, tożsamościami i zasobami, do których mogą uzyskiwać dostęp te tożsamości, aby ułatwić ocenę potencjalnego wpływu.
• Zaawansowane wyszukiwanie zagrożeń: przeszukiwanie danych wykrywania przy użyciu języka zapytań Kusto (KQL) w celu zbadania lokalnych agentów SI i zasobów, do których mogą uzyskać dostęp na podstawie uprawnień użytkownika, który je uruchamia.

Obsługiwane lokalne konfiguracje agentów sztucznej inteligencji i serwera MCP

Usługa Defender definiuje agenta jako kombinację użytkownika, urządzenia i typu agenta. Jeśli na przykład Claude Code działa w 15 różnych folderach projektu na tym samym urządzeniu dla tego samego użytkownika, jest on wyświetlany jako pojedynczy wpis agenta w spisie.

Defender wykrywa lokalnych agentów AI na urządzeniach końcowych z systemem Windows i macOS. Obejmuje to agentów uruchamianych z poziomu wiersza polecenia, aplikacje desktopowe, agentowe środowiska IDE, rozszerzenia do VS Code oraz lokalne implementacje agentów oparte na Claw. Microsoft Defender może także wykrywać lokalne i zdalne konfiguracje serwerów MCP powiązane z tymi agentami.

Informacje o obsłudze według agenta, systemu operacyjnego i konfiguracji serwera MCP znajdują się w artykule Ochrona punktu końcowego w usłudze Microsoft Defender AI agent support matrix.

Funkcja Defender Associates skojarzyła konfiguracje serwerów MCP dla agenta. Dostępne szczegóły konfiguracyjne mogą obejmować nazwę serwera, typ, punkt końcowy oraz polecenie używane do uruchomienia lokalnego serwera MCP. Agent może mieć wiele skonfigurowanych serwerów MCP. Aby zapytać o te szczegóły, zobacz Przegląd serwerów MCP i narzędzi używanych przez lokalnych agentów AI.

Aby dowiedzieć się, jak odnajdywać i wyświetlać lokalnych agentów sztucznej inteligencji, zobacz Odnajdywanie lokalnych agentów sztucznej inteligencji.

Szersze możliwości zabezpieczeń sztucznej inteligencji

możliwości odnajdywania Microsoft Defender są częścią kompleksowego podejścia do zabezpieczeń sztucznej inteligencji. Microsoft Defender oferuje inne możliwości w ekosystemie AI Twojej organizacji:

• Odnajdywanie agentów platformy i chmury: znajdź agentów utworzonych za pomocą Microsoft Copilot Studio, Microsoft Foundry, Amazon Web Services (AWS) Bedrock i Google Cloud Platform (GCP) Vertex AI.
• Wykrywaj i badaj zagrożenia: Koreluj alerty i badaj podejrzane zachowania agentów w swojej infrastrukturze bezpieczeństwa.

Aby uzyskać szczegółowe informacje na temat tych możliwości i sposobu ich stosowania, zobacz Ochrona zasobów sztucznej inteligencji przed pojawiającym się zagrożeniami i lukami w zabezpieczeniach przy użyciu Microsoft Defender.