先问一个不太好回答的问题：你公司现在到底有多少个 Agent 在跑？
不是”开了几个 Copilot”，是那种半夜自己在读邮件、调接口、写回 CRM 的东西。谁建的、能碰哪些数据、上个月被谁用过、有没有人给它续过权限——大部分 IT 负责人答不上来。微软 5 月 1 日 GA 的 Agent 365，卖的就是这个答案：把你的 Agent 当成员工来管。
它不造 Agent，它管 Agent
先把定位摆正。Copilot Studio 和 Foundry 是造 Agent 的地方（这两块站里都拆过），Agent 365 不造，它在上面盖了一层控制面。官方用的三个动词是 observe、govern、secure——看得见、管得住、拦得下。
拿 HR 打比方：Copilot Studio 是招人，Agent 365 是工牌、门禁、考勤和监控。每个 Agent 进公司得有个身份（Entra Agent ID），得知道它汇报给谁，能进哪几个房间，最近干了什么。人不这么管会出事，Agent 更会——它一分钟能干的活比人一天还多。
四块拼图
统一注册表。所有 Agent 的清单，来自微软自家平台的、生态伙伴的、你在 AWS 或 Google 上自己搭的，都尽量往一张表里塞。表里有归属人、发布者、风险标记、用量。9 月底加了个 AI mode：直接用自然语言问”哪些 Agent 没有 owner”，它给你列出来。
Agent Map。靠 OpenTelemetry 上报的调用拓扑，哪个 Agent 调了哪个 MCP server、碰了哪个数据源，画成图。出事时这张图比日志好用——日志告诉你发生了什么，拓扑告诉你是从哪条路进来的。
策略与审批。管理员批准一个 Agent 的瞬间，策略模板把 Conditional Access、access package、自定义安全属性一次性套上，不用逐个系统点。9 月预览的 Agent Management Rules 更进一步：按”没有 owner””某个标签””某个发布者””风险信号”自动拦截、拒绝发布或套模板。
工具治理。MCP server、插件、Skills、连接器统一进白名单，租户级允许或阻断，9 月底 GA。自定义 MCP 要走 Agent 365 CLI 提交，管理员看清描述、发布者、端点、能力之后再批——这一步很关键，MCP 现在就是新的供应链入口。
五个月五千万个，靠四条入口
微软 9 月 30 日自己公布的数字：从 5 月上线到现在，注册的 Agent 接近 5000 万个，覆盖数万家组织。微软自己作为 Customer Zero，已经跑着数十万个 Agent。
这个量不是靠人一个个填表填出来的，是四条入口：
一是微软自家渠道。凡是通过 M365 渠道发布、拿到 Entra Agent ID 的 Agent，自动出现在清单里。
二是预集成伙伴。Genspark、Zensai、Egnyte、Zendesk 这些已经配置好，IT 不用写集成代码；Kasisto、Kore、n8n 这类”Agent 工厂”出来的也能直接纳管。
三是 Registry Sync。把 AWS Bedrock、Google Cloud、Databricks Genie、Anthropic Claude 上已有的 Agent 同步进来——这条最实在：等于承认客户不会只用微软。
四是终端发现。跑在员工电脑上的本地 Agent，由 Defender 和 Intune 扫出来，6 月开始预览。官方点名支持 OpenClaw，还能用 Execution Container 把它跟用户会话隔开。这一步有意思：微软在自己的文档里，把别家开源 Agent 当成治理对象。
账单：按人头，不按 Agent
Agent 365 单独卖 15 美元/用户/月，年付；打包进 Microsoft 365 E7 是 99 美元/用户/月（E7 = E5 + Copilot + Agent 365）。
注意计价单位是人，不是 Agent。1000 人的公司，一年 18 万美元，不管你底下跑 50 个 Agent 还是 5 万个。这套算法对微软很聪明：Agent 数量爆炸不会让账单爆炸，但治理需求会。对客户则是另一回事——你买的不是算力，是”看得见”。
真要上手，五步
前提是租户里已经有 E5（A5、Business Premium，或者 Defender + Purview 套件也能凑），而且至少一个用户买了 Agent 365 才能启用。真拿到租户，路径大概是这样：
进 M365 管理中心的 Agent registry，先看清现在有什么，别急着建策略；给外部 Agent 发 Entra Agent ID，走 SDK 或 CLI，官方 6 月还出了个 Skills 包简化这步；建两条模板，第一条先做”无 owner 自动通知”，别一上来就拦；在 Tools 里把 MCP 默认设为拒绝，白名单放行；最后接 Azure API Management 或 Defender，把运行时那一段补上。
跑完这一圈你会发现，Agent 365 的活主要是”填表 + 定规则”，不是技术活，是治理活。这也解释了它为什么按人头卖。
实话三条
只管治理，不管跑。Agent 365 给你看得见、拦得住，但 Agent 真正干活的环境是另一套东西——Windows 365 for Agents，6 月才公测，只在美国。想把 Agent 关进一个受控的云电脑里跑，现在还没到普及的时候。
门槛不低。它本质是 E5 生态的加购项：底子不是 E5 或 A5，就得先凑齐 Defender + Purview 套件，否则很多信号接不进来，体验是残的。100 人的公司一年 1.8 万美元，买到的只是”我知道有哪些 Agent”，值不值要看你在不在受监管行业。
国内基本用不上。商业版 GA 是事实，但租户、合规、数据落地是另一回事。国内团队看这套东西，价值在于抄思路：注册表、身份、工具白名单、运行时网关，这四件事自己搭也不难，难的是让业务部门认账。
最后一句判断
Agent 治理正在变成 MDM、EDR 那样的独立采购品类。ServiceNow 把 AI 控制塔 卖进流程，Salesforce 把治理长在 CRM 骨架 上，微软的赌注最简单：你已经在用 E5，顺手多买一张 15 美元的工牌最省事。
谁赢不好说。但”公司有多少个 Agent、谁批的、它在碰什么数据”这个问题，明年大概率会被董事会问到。到时候手里没有注册表，就只能靠猜。
