Microsoft ber Windows-brukerne om noe selskapet aldri har bedt om før: å la Copilot åpne filene deres, lese hva de har jobbet med og utføre handlinger på PC-en uten at de må klikke seg gjennom hvert steg. Selskapet ber om dette fra en svak posisjon. Sist Microsoft lot en KI-funksjon få dyptgående innsyn i PC-en, plukket sikkerhetsforskere den fra hverandre i løpet av noen uker, og Microsoft måtte trekke den tilbake.

Omtalen av lanseringen leses som en liste over funksjoner: lokale filer, lokale modeller, en smartere oppgavelinje. Det mer relevante spørsmålet er hva som skjer med Microsoft hvis dette går galt. På det punktet er selskapets egne dokumenter mer åpenhjertige enn hovedpresentasjonen.

Dette får Copilot tilgang til på en Windows-PC

Den nye Copilot, som ble vist fram på Microsofts arrangement for Windows og Surface, får det selskapet kaller hybrid intelligens på Copilot+-PC-er. Med brukerens tillatelse kan Copilot forstå relevant innhold på PC-en, blant annet filer og nylig aktivitet, og utføre handlinger på tvers av Windows: organisere filer, vurdere enhetsdiagnostikk, feilsøke, skrive kode og kjøre arbeidsflyter på enheten. Noen oppgaver kjøres med lokale KI-modeller, mens de mer krevende sendes til skyen. Innlegget om lanseringen, signert Pavan Davuluri, Microsofts konserndirektør for Windows og enheter, sier at Copilot «forstår PC-en din og handler med din tillatelse».

Autopilot, agenten Microsoft beskriver som vedvarende, proaktiv og personlig, får samme lokale tilgang. På scenen bygget Copilot-sjef Jacob Andreou demonstrasjonen sin rundt skattemeldingen: en e-post fra regnskapsføreren hans og en agent som fikk i oppgave å samle inn det hun trengte. Søkefeltet på oppgavelinjen er samtidig i ferd med å bli en kommandolinje for tusenvis av systemhandlinger, fra å slå på mørk modus til å sende en tekstmelding.

Microsofts eget sikkerhetsteam har allerede advart

Sikkerhetstiltakene er reelle. Funksjonen må aktiveres av brukeren, tilgangen til mapper er begrenset, og Copilots agenter kjører under kontoer som er atskilt fra brukerens, slik Crypto Briefing beskrev. Microsoft Execution Containers, sandkasselaget som ble allment tilgjengelig i Windows 11 under arrangementet, lar organisasjoner definere hvilke filer og nettverk en agent får tilgang til. Microsoft sier at retningslinjene ligger utenfor agentens kontroll, slik at agenten eller koden den genererer, ikke kan gi seg selv utvidet tilgang.

Den tydeligste beskrivelsen av risikoen kom likevel fra Microsoft selv. Dana Huang og Logan Iyer, konserndirektørene med ansvar for Windows-sikkerhet og Windows-plattformen, skrev tidligere i år at agenter som «leser filer, kaller tjenester, endrer miljøer og kjeder sammen handlinger», medfører «ny risiko for kontroll og tillit», og at «store språkmodeller utvikler evner til å komme seg ut av sandkasser». Det er selskapets begrunnelse for å holde agentene innenfor bestemte rammer. Det er også en rett fram beskrivelse av det Microsoft nå ruller ut til Copilot+-PC-er.

Noen av funksjonene som gjør agentaktivitet mulig å kontrollere i ettertid, er ikke ferdige. Microsoft Entra skal «snart» kunne skille mellom agentaktivitet og brukeraktivitet, og Intune-styring av prosessbeholderne står også oppført som noe som kommer snart. En fotnote i kunngjøringen legger til at «styring i stor skala kan kreve tilleggstjenester». For en IT-avdeling er dette forskjellen mellom en retningslinje og et løfte.

Recall-presedensen Microsoft ikke kommer unna

Microsoft har vært her før. Da selskapet presenterte Recall, funksjonen som tar øyeblikksbilder av det som vises på skjermen, oppdaget sikkerhetsforskeren Alex Hagenah at dataene ble lagret i en lokal database. Han oppsummerte funnet i én setning, sitert av Malwarebytes: «Databasen er ukryptert. Alt er ren tekst.» Han bygget et verktøy som kopierte ut innholdet. Microsoft slo av Recall som standard, knyttet funksjonen til Windows Hello og la til kryptering. Deretter flyttet selskapet den fra den brede lanseringen på Copilot+-PC-er til Windows Insider-programmet, før forhåndsvisningen igjen ble utsatt.

Den neste smellen kom da Davuluri skrev at Windows «utvikler seg til et agentbasert operativsystem». Innlegget fikk over 400 svar, nesten alle negative, og han slo av kommentarfeltet, meldte The Stack. Svaret hans, «Vi vet at vi har en jobb å gjøre med brukeropplevelsen», anerkjente reaksjonene. Denne lanseringen viser at kursen ikke er endret.

Derfor plasserer valgfri aktivering ansvaret hos Microsoft

At brukeren selv må aktivere funksjonen, er riktig utforming – og det er også her ansvaret havner. Fordi ingenting slås på som standard, avhenger Copilots tilgang av at brukerne aktivt gir tillatelse, et poeng Crypto Briefing trakk fram i omtalen av hvor mange som vil ta funksjonen i bruk. Hver bruker som takker nei, feller snarere en dom over Microsofts historikk enn over selve funksjonen. Cryptopolitan påpekte at selskapet fortsatt må leve med personvernbekymringene Recall skapte, og at det at flere agentutviklere slutter seg til beholdersystemet, ikke automatisk gjør agentene tryggere.

Hybridfunksjonene krever en Copilot+-PC og ventes rullet ut i løpet av de kommende månedene. Tidspunktet vil variere etter enhet, marked og brikke, ifølge Microsoft. Søkefunksjonene på oppgavelinjen begynte å bli tilgjengelige for Windows Insiders i den eksperimentelle kanalen 7. oktober, og en valgfri kobling mellom den nye Copilot og søkefeltet på oppgavelinjen skal komme i utvalgte markeder senere i år. Microsoft sier at mer enn 40 prosent av bedriftsbærbare PC-er som nå bygges, er Copilot+-PC-er. Surface Laptop Ultra, den nye utstillingsmodellen, starter på 2 599 dollar og legges ut for salg 16. oktober.

Microsoft har laget en sandkasse som en agent ikke kan snakke seg ut av. Men ingen beholder løser den vanskeligere delen: Første gang en Copilot-agent flytter feil fil, er det ingen som kommer til å klandre modellen. De kommer til å klandre Windows.

Tagger: microsoft, KI-agenter, Windows 11, Microsoft Copilot, Copilot+ PCs