Microsoft 治理的是
Microsoft 内部的代理。其余的由我们治理。

身份边界

绑定于 Entra。代理身份存在于 Microsoft 租户内部；Conditional Access 和 Identity Protection 仅在代理是 Entra 主体时才适用。

大多数企业代理技术栈并非百分之百是 Microsoft 的。一旦代理调用 AWS、其他厂商的 SaaS，或运行在非 Copilot 框架上，Microsoft 的身份叙事就会退化为“需要额外工具”。

Passport — 可移植的 ES256 凭证，JWKS 端点

代理获得带受众绑定的短期 ES256 JWT（TTL 为 1 小时）。下游服务通过公共 JWKS 端点验证签名——无需共享密钥，也没有租户边界。无论代理运行在你的 VPC 中、在 Bedrock 上，还是在合作伙伴的技术栈内，同一份凭证都能正常工作。

审计持久性

活动记录保存在 Microsoft 租户内部，遵循 Microsoft 自身的保留和取证策略。按 Microsoft 的条款导出。

对于医疗、法律和金融服务行业而言，“Microsoft 说这件事发生了”和“我有一份可以离线验证的加密凭据”并不是同一种产品。当客户不愿意信任供应商时，Vault 就是这场对话的答案。

Vault — 不可篡改的哈希链账本，可导出

每一条审计事件都通过 SHA-256 与其前一条事件链接。链的验证可以离线复现——把导出结果交给审计员，他们无需调用 VeriSwarm 的 API 就能验证完整性。感知链结构的保留机制会将较早的段落连同已记录的 segment_hash 归档为 JSONL，并在边界上架桥，使验证器在保留期结束后仍能正常工作。

合规认证

GA 材料中描述的是“合规与性能评估”。特定框架的认证端点仍在路线图上，今天的产品中并不存在。

根据 5 月 7 日的 Omnibus 协议，针对高风险系统的 EU AI Act 执法时间从 2026 年 8 月推迟到了 2027 年 12 月 2 日。合规窗口变长了，而不是变短了——那些利用这段时间构建持久治理体系、而不是在截止日期前两个月恐慌采购的买家，将会最先做好准备。今天就能提供证据的买家，要么已经拥有 VeriSwarm，要么只有一个路线图链接。

合规端点 — 已经上线

按框架划分的认证端点会生成机器可读的证据包，审计员无需你的工程团队重新搭建电子表格即可读取。EU AI Act（根据 5 月 7 日的 Omnibus 协议，高风险义务现在推迟到 2027 年 12 月）、NIST AI RMF、ISO 42001、OWASP Agentic AI Top 10——全部已上线。另有五个框架处于技术预览阶段。

数据边界执行

治理的是 M365 数据图谱内部已经分类的数据。在 M365 之外——自建 RAG、第三方知识库、调用外部 API 的 MCP 工具——PII 问题就成了客户自己的问题。

真正有意思的 PII 问题并不是“Microsoft 内部的数据”。而是代理从第三方知识库读取数据、调用某个供应商的 API，或将数据交给你无法控制的下游 LLM 的那一刻。数据泄露就发生在那里。

Guard — 在传输链路上进行 Presidio NER 令牌化

使用 Presidio NER（Microsoft 自家的库，被应用在代理-工具边界，而不是 M365 图谱内部）对嵌套的负载进行递归式 PII 令牌化。Guard Proxy 透明地位于代理与其工具之间，拦截每一次调用。PII 永远不会跨越边界——跨越边界的是令牌，且再水化仅限于会话范围内。

运行时执行

策略与审批工作流与 M365/Azure 资源范围绑定。在边界内很强，在边界外就会减弱。

Cedar 与 AWS 用于 IAM 的语言相同，也是 Microsoft 自家的 Agent Governance Toolkit 为策略选择的语言。当代理跨越云边界时，用一种不依赖单一供应商、可移植的语言来掌控运行时决策层就变得至关重要。

Cedar 策略引擎 + 熔断开关 + 人工审核

按租户声明的 Cedar 策略，在每一次决策检查时都会被评估。实时熔断开关，原因代码会记录到 Vault 中。Cortex Workflows 包含用于审批的 human_review 步骤类型；跨模型验证将关键决策路由到多个 LLM，以多数共识做出判断。每一次拦截、每一次覆盖、每一次审批都会落入审计链。