AI agent jako vnitřní riziko. Firmy mu musí postavit vlastní dohled

Agent jako privilegovaný zaměstnanec

Když firma nasadí autonomního agenta, dává mu zpravidla přihlašovací údaje do pošty, kalendáře, souborů a někdy i do schvalovacích procesů nebo platebního styku. Z pohledu bezpečnosti to je privilegovaný účet. Rozdíl spočívá v tom, že ho neovládá člověk, který prošel školením a řídí se interní směrnicí. Agent běží nepřetržitě, rozhoduje rychlostí stroje a chová se podle kontextu, který dostane v zadání.

Microsoft tento typ rizika označuje jako „agentic insider". Zrádné je, že k němu nepotřebujete vnějšího útočníka. Agent s vysokými právy sám sáhne na citlivá data, schválí chybnou objednávku nebo zkopíruje dokument, který do odpovědi dostat neměl. Není naladěný na firemní normy, ale na splnění úkolu.

Proč tradiční ochrana nestačí

Dosavadní bezpečnostní postupy počítaly s lidmi. Hranice sítě, identita zaměstnance a sledování podezřelého chování stály na předpokladu, že aktér je člověk s předvídatelným chováním. Agent tento předpoklad ruší. Kombinuje oprávnění napříč systémy, pracuje bez přestávky a jeho chování se mění s každým novým pokynem.

Druhý problém je technický. Když bezpečnostní kontrola běží uvnitř modelu, který má hlídat, může ji model obejít nebo přepsat. Microsoft proto prosazuje, aby kontrolní mechanismy stály striktně mimo samotný model. Podobně jako pokladnu nehlídá sám prodavač, ale oddělený audit.

Zero Trust a dohled 24/7

Microsoft reaguje rozšířením principu Zero Trust, tedy „nikomu nevěř, vše ověřuj", na datový a síťový provoz AI agentů. Každý krok agenta se ověřuje, nikoliv předpokládá. K tomu přibývají dva konkrétní nástroje. Microsoft Entra Agent ID spravuje identity agentů podobně, jako se dnes spravují identity lidí. A ISOC v rámci Microsoft Defenderu přidává dohled nad bezpečnostní infrastrukturou.

Důležitou část tvoří takzvané Guardian Agents, tedy dohledoví agenti. Běží nepřetržitě 24/7 a moderují a kontrolují akce autonomních agentů. Jejich úkolem není práci agentů blokovat, ale ověřovat, že každý krok spadá do povoleného rámce.

Čísla, která to dokládají

Že nejde o teoretické cvičení, ukazují data, která Microsoft zveřejnil. Správci identit, kteří používali nástroj Conditional Access Optimization Agent v prostředí Microsoft Entra, plnili úkoly o 43 % rychleji a o 48 % přesněji. Agent je tak zároveň produktivní nástroj i bezpečnostní riziko.

Rizik přibývá. Podle Microsoft Digital Defense Report 2026 mířilo 27 % všech pozorovaných kybernetických aktivit v roce 2026 na vládní sektor a služby, oproti 17 % v roce 2025. Microsoft z toho vyvozuje, že se ochrana musí přesunout i dovnitř organizace, k samotným agentům.

Širší rámec tvoří iniciativa Project Perception, kterou Microsoft představil v červenci 2026. Spojuje tři druhy specializovaných agentů: červený tým hledá cesty ke kompromitaci, modrý tým vyhodnocuje riziko a zelený tým napravuje nalezené chyby. Systém sází na více modelů podle náročnosti úkolu. Specializovaný model MAI-Cyber-1-Flash dosáhl v benchmarku CyberGym skóre 96 % (any-crash) a stejná konfigurace ušetří téměř 50 % nákladů oproti dosavadnímu nastavení MDASH. Veřejný náhled běží od 3. srpna.

Co z toho plyne pro české firmy

Pro české firmy, které nasazují agenty přes Microsoft 365 Copilot nebo Azure, platí, že agent bez dohledu je privilegovaný účet, o kterém nikdo neví. Prakticky to vede ke třem opatřením. Přidělovat agentům jen minimální nutná práva, logovat každou jejich akci a oddělit kontrolu od samotného modelu.

Evropská regulace jde stejným směrem. Akt o umělé inteligenci (EU AI Act) vyžaduje u vysoce rizikových systémů řízení rizik a lidský dohled. Autonomní agent, který schvaluje platby nebo rozhoduje o přístupech, se do této kategorie může snadno dostat. Firmy, které spadají pod směrnici NIS2, pak musejí prokazovat zvládání kyberbezpečnostních rizik, a to se na nově nasazené agenty vztahuje také.

Nástroje Microsoftu, o kterých je řeč, se dodávají v běžných podnikových licencích dostupných v Česku. Pokročilé bezpečnostní funkce se přitom administrují standardně v angličtině, česká lokalizace se jich zatím dotýká jen okrajově.