Microsoft Scout 上手指南：启用条件、权限边界与试点怎么做

Microsoft Scout 能帮你准备下一场会议的简报、处理本地文件，并在 Microsoft 365 的日常工作中定期检查任务。对 IT 团队来说，关键是决定把多少工作交给它、允许它使用哪些数据，以及哪些后续操作必须由人批准。

我的建议是：如果反复准备材料确实耗时，而且组织接受外部 AI 处理数据，可以先让一小批明确指定的用户试用 Scout。 在确认草稿是否有用之前，保留对修改操作的审批。如果要求无人值守执行有保证，或者所有处理都必须受到 Microsoft 365 的保护，就先不要开通。

Scout 目前处于 Frontier 预览阶段。可用范围和功能都可能变化，预览功能也不代表一定会正式推出。本文依据截至 2026 年 11 月 6 日核查的 Microsoft 公开文档撰写，并非登录实测，也不是独立性能评测。

Microsoft Scout 能做什么？

Scout 是一款桌面应用，把本地操作与 Microsoft 365 中的工作信息结合起来。可以把它理解为一个配有工作台、浏览器，并获准访问办公信息的助手。给它安排任务，并不意味着自动向它开放全部权限。

WorkIQ 是一个查询层，帮助 Scout 汇集 Microsoft 365 各处的信息。Shell 则是在电脑上运行程序的命令接口。即便请求始于普通聊天，这两类访问权限也不能轻视。详见桌面能力概览。

如何启用 Scout？先备齐许可，再完成管理员设置

安装只是客户端环节。部署之前，需要确认许可，并完成两道管理员准入步骤。

启用后，用户安装 Scout，登录 Microsoft 365 和 GitHub，选择工作区文件夹，再检查权限。安装与先决条件指南还说明，WorkIQ 和 Shell 访问默认开启，自动批准默认关闭。开启 Shell 访问意味着可以请求运行命令，并不等于所有命令都获准执行。

第一道：在 Microsoft 365 管理中心启用 Frontier

打开 Copilot > Settings > View all，搜索 Frontier，选择 Copilot Frontier。选定用户范围后保存。Microsoft 提供 No access、All users 和 Specific users 三种选择；试点应选 Specific users。设置生效可能需要约三小时。

第二道：应用 Intune 策略并完成确认声明

通过 Intune 在目标设备上启用 Scout，然后填写 Microsoft 管理员访问说明中链接的 M365 Admin Frontier organization sign-up form。由于数据处理可能离开 Microsoft 365，这份确认声明是额外的主动开通步骤。仅设置 Frontier、安装应用，或分配 GitHub 席位，都不足以完成准入。

Windows 设备需要导入 microsoft-scout.admx 和 microsoft-scout.adml，创建导入模板策略，并启用 Allow Microsoft Scout Frontier access，即 AllowScoutFrontierAccess 功能。Mac 则需通过 macOS 自定义配置文件，使用 Device 通道分配 microsoft-scout.mobileconfig。将策略分配给计划参与试点的设备，并等待同步完成。Microsoft 的 Intune 设置指南提供了模板和部署步骤。

还要检查 GitHub 的 Copilot 应用策略。即使已分配 Business 或 Enterprise 席位，企业或组织策略仍可能阻止使用。1.1 之前的应用版本使用 Copilot CLI 策略。试点准备时应让 GitHub 管理员参与。

哪些操作可以不再询问就执行？

配置的权限允许时，Scout 可以在没有新提示的情况下行动。但不能因为任务已设为定时执行，就认定它拥有相应权限。

安装指南说自动批准默认关闭，命令指南又给出了一些归入自动批准级别的示例。依赖无人值守执行之前，务必检查试点设备上实际生效的设置。这些示例代表可能授予的权限，并不保证它们已经开启。

Heartbeat 会在选定的工作日和时段内，按配置的间隔重复执行同一条指令：15 分钟、30 分钟、一小时或两小时。Automations 则是独立的定时任务或条件触发任务，也可设置为只执行一次。这些后台模式的权限比交互操作更严格。常见问题文档介绍了权限级别和自主运行模式。

Heartbeat 有专门的策略。通常需要批准的操作会被跳过；对外发送的消息使用通用内容，而非私有数据；暂定日历事件也计为忙碌。用户可以检查活动日志。即使其他规则允许访问，敏感路径仍可能要求明确批准。以上细节见 Heartbeat 与权限指南。

首次试点，可以让它生成异常事项清单或草稿。一次有用的后台检查，不必以自动向所有相关人员发送结果收尾。

尤其要留意 Microsoft 365 中的修改操作。发送或发布消息、修改日历事件、编辑列表项、更改收件箱规则之前，Scout 都会请求批准。文件共享请求则需要审查文件、接收者和访问级别。它可以授予或提高指定人员的访问权限，但不能移除现有权限，也不能创建匿名共享链接。这些工作流的边界可参考 Microsoft 365 操作指南。

身份、沙箱与数据边界怎么划分？

按文档说明，这款桌面预览版使用当前登录用户的权限。 它通过组织的 Microsoft 365 身份进行认证，只能访问该账户获准使用的 Microsoft 365 资源。

准备设备时，按需使用管理员权限；随后应以普通用户身份启动 Scout。Microsoft 明确要求不要以 SYSTEM、服务或其他管理员账户运行它。用户无需持续拥有本地管理员权限。

沙箱是受限的执行环境。Microsoft 文档介绍的是 Scout 的浏览器引擎沙箱，并警告 --no-sandbox 属于不受支持、会削弱安全性的变通方式。这并不能说明所有文件操作和 Shell 命令都在独立虚拟机中运行。部署时，应依据文档明确列出的工作区限制、工具权限和终端策略。详见受管环境与沙箱指南。

工作区也是需要配置的权限边界。版本说明记录了一项能力：用户可以批准访问额外文件夹，供后续操作使用。如果必须固定这一边界，就应使用工作区限制策略。

本地执行不等于 AI 在本地处理。 模型交互经由 GitHub Copilot，适用单独条款；提示词和内容可能传送给已配置的第三方提供商。Microsoft 表示，Microsoft 365 的数据驻留、保留、敏感度标签强制执行和电子数据展示（eDiscovery）保护不适用于这部分处理。

存储也有不同边界。创建的文件保存在工作区；会话和记忆保存在用户的 OneDrive 中，受租户控制；自动化指令和工具输出保存在本地，不在 Microsoft 365 数据保护协议的覆盖范围内。生成内容也未必会自动继承源数据的敏感度标签。这些区别见负责任 AI 数据处理常见问题。

我的部署原则是：批准周期性任务之前，先批准实际的数据流向和输出处理方式。允许读取某份输入，并不代表可以直接分享由它生成的输出。

试点阶段，哪些管理员控制最关键？

管理员既能限制 Scout 可以访问什么，也能限制它自主行动到什么程度。Windows 策略位于 HKLM\SOFTWARE\Policies\Scout，作用于设备，普通用户无法修改。

“源”（origin）指网站的协议、主机，以及适用时的端口。浏览器目标地址封锁应按这一范围理解，不能据此认定它控制了所有网络路径。Microsoft 的管理员策略参考定义了这些控制项。

起步时，使用专用工作区、小范围用户，以及非读取操作审批。先找到有用的任务，再确认策略能让预期步骤完成，然后才开启后台模式。指定一名管理员负责，在输出不再可靠时将其停用。

值得试点的六类工作流，按优先级排序

最适合起步的任务，应先产出供人审核的内容，再修改共享记录。下面都是工作流建议，并非实测结果。

以会议试点为例，原有流程是搜集、核对、起草、审核，然后行动。建议的流程把前三步交给 Scout，保留审核和批准。仅作规划测算：如果每周五份简报目前每份耗时 30 分钟，而审核加修改可以控制在每份 10 分钟，潜在节省就是 100 分钟，即 1 小时 40 分钟。这两个输入值都必须由试点验证，不能当作 Scout 的性能基准。

围绕 Scout，可以做哪两类服务？

最值得尝试的是面向 Microsoft 365 客户团队的会议简报技能与试点服务包。 2026 年 11 月 6 日获取的 DataForSEO 美国关键词估算显示，“meeting preparation”每月有 390 次搜索。 这说明有人在寻找会议准备相关内容，并不能证明这些搜索者想用 Scout。

最小可售版本可以包括一套可复用指令、商定的来源清单、简报模板，以及为试点团队部署的审核标准。运营或销售赋能负责人可能愿意为稳定的准备流程、减少信息遗漏付费。Scout 技能是写在 SKILL.md 文件中的可复用流程；这里提出的是工作流服务，并不是说 Scout 提供了面向产品开发的公开 API。难点在于来源访问和信息完整性：简报再精致，也可能漏掉决定性的邮件。真正能形成壁垒的是团队流程和质量检查，而非单独一条提示词。

第二个机会是收件箱异常事项服务包。 同一次 DataForSEO 查询估算，“email management”在美国每月有 1,300 次搜索。 运营团队可以购买配置好的分流流程，用来识别指定异常类型、准备审核清单并起草回复，而不把无人值守发送作为目标。

最小版本可以只覆盖一个人的邮箱、一小组异常分类、一条周期性指令，以及由过去已解决案例组成的评估集。难点在于权限阻力和误报：如果 Heartbeat 必须跳过某个必要操作，或者把过多常规邮件标成异常，这个服务包反而增加工作量。广义的邮件管理搜索需求，并不能证明用户愿意为这一具体实现付费。

选 Scout，还是其他方案？

如果试点需要同时结合个人 Microsoft 365 工作信息、本地操作和周期性执行，可以从 Scout 开始。

如果要做的是团队共用、可重复执行的流程，先通过我们的企业 AI 智能体对比评估 Copilot agents。参考其中的 Microsoft 工作流标准，判断需要的是可持续维护的团队流程，还是个人助手。

如果核心任务是把文档工作交给助手，而且可以接受其他厂商的桌面体验，可以参考我们的 Claude Cowork 指南。结合自己的输入数据，核对文中对本地执行与云端执行的说明。仅有桌面界面，并不能确定任务在哪里运行。

哪些情况应当暂缓？下周一从哪一步开始？

如果试点无法接受外部推理、依赖正确性保证，或者没有人负责待审核事项，就应暂缓。Scout 可能误解指令，也可能无法完成多步骤任务。生成的消息、文档和代码都应视为草稿。Microsoft 还明确表示，此预览版不适用于美国政府以及主权云或国家云环境。

下周一，选定一名操作人员和一项反复发生的准备工作。记录现有步骤和耗时，明确允许的输入、预期输出，以及由谁审核。让 Microsoft 365、Intune 和 GitHub 的负责人一起完成准入检查。先评估一次有人监督的运行，再增加周期性执行。

只有把修改、输入缺漏检查和审批的成本都算进去，输出仍能节省时间，才扩大使用。无人值守生成一份没人信任的草稿，并没有减少工作。

Microsoft Scout 是什么？

Scout 是处于 Frontier 预览阶段的桌面智能体，能操作文件、Shell 命令、浏览器和 Microsoft 365。它支持周期性后台工作，但执行受到已配置权限和管理员策略的约束。

如何获取 Microsoft Scout？

请管理员为你启用 Frontier，应用 Scout 的 Intune 策略并完成确认声明。同时还需要文档要求的 Microsoft 365 Copilot，以及 GitHub Copilot Business 或 Enterprise 许可。之后安装受支持的桌面应用，使用相应账户登录。

Microsoft Scout 怎么收费？

本文查阅的 Scout 文档没有列出固定的 Scout 价格。它要求具备上文列出的许可，并使用 GitHub 账户进行 token 计费。扩大试点之前，请许可负责人核实适用的使用条款；不要假定 Microsoft 365 席位已覆盖全部活动。

如果想为团队构建边界明确的智能体工作流，可以了解 AI 智能体开发。