北京
八年前，企业IT团队还在用Excel表格追踪几千台设备的补丁状态。今天，微软正在把这套流程彻底改写——不是让人去查问题，而是让AI直接告诉你怎么修。
这套新系统的核心逻辑很直白：Intune管设备，Defender给风险信号，Security Copilot负责推理，最后由Agent输出修复步骤。听起来像流水线，但真正的变化在于"责任转移"——安全运营的中心从人转向了人机协作。
端点层的数据其实从来不缺。设备姿态、应用清单、策略分配、组归属、合规状态、Defender漏洞数据、特权管理请求、云PC上下文、基线漂移——现代企业终端产生的信号多到淹没分析师。问题是，知道"哪台机器有CVE"和知道"该先修哪台、怎么修、谁来负责"之间，隔着一道巨大的鸿沟。
Security Copilot的Vulnerability Remediation Agent试图填上这道沟。它读取Defender Vulnerability Management的CVE数据，在托管设备上做优先级排序，然后输出一步步的Intune操作指南。关键转变在这里：从"找出问题"变成"指导修复"。
但微软显然没打算搞成无人值守。Copilot在Intune里跑在完整的身份和权限框架下——RBAC、作用域标签、管理员审核模型一样不少。你能看到什么数据、能建议什么操作、最终能不能执行，全被锁在治理结构里。端点修复动辄影响成千上万台设备的配置和权限，AI可以辅助决策，但不能绕过管控。
这引出了一个更深层的变化：端点安全的问题范式正在迁移。过去问的是"哪些设备有漏洞"，现在要问的是"哪些风险优先、什么策略能修复、谁负责执行、怎么证明修完了"。四个问题，四个不同的能力模块，缺一不可。
Rahsi Framework给这套模式列了六个锚点：信号、身份、策略、风险优先级、管理员监督、审计证据。Agentic端点修复要成立，每个动作都得挂在这六个钩子上。信号是起点，身份和策略是控制面，风险优先级决定资源分配，监督保留人的判断，审计证据则回应合规诉求。
微软的路线图指向一个中间态：不是完全自主的端点控制，而是"受治理的辅助决策"。Intune继续承担管理职能，Defender持续供应威胁情报，Copilot做推理层，Agent输出修复路径，治理机制守住信任边界。五层结构，各安其位。
对安全团队来说，这意味着技能重心的转移。查日志、写查询、手工打补丁的工时会被压缩，但策略设计、风险建模、异常判断和跨团队协调的需求在上升。AI接手了"怎么做"，人得回答"为什么做、做到什么程度、出了问题谁担责"。
这套架构的赌注在于：企业愿意为"更快修复"付出多少治理成本。Agent能提速，但每一步都得留痕、可审计、能回滚。微软的选择是把治理做重，而非把自动化做轻。这种保守姿态或许拖慢落地节奏，但在监管密集的行业里，可能是唯一可行的路径。
端点安全的终局不是无人化，而是人机责任边界的重新划分。微软的方案是给AI划定清晰的行动半径，在半径内最大化效率，在边界上保留人的否决权。这种设计哲学会扩散到其他安全域——身份、网络、云工作负载——但端点作为最复杂的攻击面之一，注定是最早的试验场。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
