¿Lanzamiento de Microsoft Execution Containers? Cómo MXC aísla a los agentes de IA

¿Lanzamiento de Microsoft Execution Containers? Microsoft anunció la disponibilidad general de Microsoft Execution Containers (MXC) el 7 de octubre de 2026, ofreciendo una capa de contención basada en políticas diseñada para controlar cómo los agentes de IA autónomos ejecutan código, interactúan con sistemas de archivos locales y acceden a destinos de red. Presentado por Logan Iyer, vicepresidente corporativo de Windows Platform + Developer, el SDK multilingüe permite a los equipos de software aplicar límites de tiempo de ejecución más allá de la autoridad directa de la carga de trabajo del agente. A medida que los sistemas de inteligencia artificial pasan de ser asistentes conversacionales pasivos a agentes autónomos capaces de modificar archivos del sistema y ejecutar comandos de shell locales, los entornos de ejecución sin gestionar introducen vulnerabilidades de seguridad críticas. Al abstraer los sandboxes a nivel de sistema operativo en un esquema de configuración unificado en Windows, macOS y Linux, el nuevo marco restringe que las cargas de trabajo no confiables excedan los recursos otorgados por los backends de contención compatibles del sistema operativo.

Por qué los agentes de IA necesitan límites de ejecución independientes

Un vistazo

Microsoft lanzó la disponibilidad general de Microsoft Execution Containers (MXC), proporcionando contención de procesos y sesiones basada en políticas para agentes de IA en Windows, macOS y Linux.
La arquitectura separa la definición de políticas de la ejecución del agente, garantizando que los modelos autónomos y el código generado no puedan otorgarse permisos adicionales a sí mismos.
Microsoft presenta la contención, la identidad y la capacidad de gestión como los tres pilares de la seguridad del agente, con la contención MXC disponible ahora y las capacidades de identidad Entra y gobernanza de Intune planificadas para una disponibilidad futura.

El despliegue de agentes de IA autónomos ha transformado el desarrollo de software y los flujos de trabajo empresariales. A diferencia de las interfaces conversacionales tradicionales que simplemente generan respuestas textuales, los sistemas de agentes modernos interactúan directamente con los entornos informáticos. Estos trabajadores autónomos escriben código, ejecutan comandos de terminal, modifican repositorios locales e interactúan con APIs externas para completar tareas complejas de varios pasos. Si bien este nivel de autonomía desbloquea importantes ganancias de productividad, otorgar a los modelos acceso sin restricciones al sistema operativo introduce graves riesgos de seguridad.

El dilema arquitectónico fundamental se centra en los límites de autoridad. Un agente autónomo no puede actuar de forma segura como su propio guardián de seguridad. Por ejemplo, un agente de codificación encargado de actualizar un repositorio de aplicaciones podría determinar que modificar la configuración subyacente del sistema operativo o editar la configuración del servidor local es la forma más rápida de completar su asignación. Aunque es lógico desde la perspectiva de tarea limitada del modelo, tales acciones exceden el límite operativo previsto por los desarrolladores, lo que podría exponer archivos confidenciales o desestabilizar los entornos de producción.

Ejecutivo de Microsoft presentando la arquitectura de contención de tiempo de ejecución del SDK de MXC para agentes de IA autónomos

La documentación de Microsoft describe a MXC como una capa de contención basada en políticas para cargas de trabajo no confiables. Según el anuncio oficial de Windows Developer, la plataforma organiza la seguridad de los agentes en torno a tres pilares fundamentales: contención, identidad y gestión. Si bien la contención MXC está disponible de forma general hoy en día, las capacidades extendidas de Microsoft Entra para distinguir las identidades de los agentes y las políticas de Microsoft Intune para gestionar los contenedores de procesos locales están previstas para futuras versiones. Al imponer límites a nivel de sistema operativo, las organizaciones pueden restringir que las cargas de trabajo no confiables accedan a rutas de archivos no autorizadas o abran sockets de red no autorizados.

Desconexión arquitectónica interna: Backends de aislamiento basados en políticas

Comprender el diseño técnico de Microsoft Execution Containers requiere analizar cómo el marco desacopla las definiciones de políticas de las primitivas de contención específicas de cada plataforma. Los desarrolladores declaran los recursos de hardware, sistema de archivos y red que requiere una carga de trabajo utilizando un esquema JSON versionado. El tiempo de ejecución de MXC luego mapea estos requisitos abstractos a los backends de plataforma adecuados en la máquina host.

En lugar de obligar a los desarrolladores a escribir una lógica de aislamiento a medida para cada sistema operativo, MXC proporciona SDKs tipados en Rust, .NET y Node.js. En Windows 11, el marco utiliza sandboxes nativos AppContainer, mientras que mapea las cargas de trabajo a Seatbelt en macOS y a Bubblewrap o LXC en Linux. Para las pilas de desarrollo centradas en Linux que se ejecutan en hosts Windows, MXC aprovisiona contenedores WSL ligeros (WSLc) para mantener la compatibilidad de paquetes, como se detalla en el repositorio de código abierto de MXC.

Descripción general de los socios de la industria que integran Microsoft Execution Containers en marcos de agentes comerciales y de código abierto

El espectro de aislamiento: Desde sandboxes de procesos hasta contenedores de sesión

Diferentes cargas de trabajo de IA requieren diversos grados de aislamiento de seguridad. Un agente de linting local que se ejecuta contra un repositorio Git requiere una latencia de inicio mínima, mientras que un agente de navegación web autónomo que maneja scripts externos no verificados exige una aplicación rigurosa de los límites. Para abordar estas necesidades operativas distintas, MXC proporciona un espectro de backends de contención:

Contenedores de proceso (Process Containers): Aislamiento ligero a nivel de proceso adecuado para la ejecución de código receptivo y llamadas a herramientas, compatible de forma nativa en Windows 11, macOS y Linux utilizando primitivas adecuadas a la plataforma como AppContainer, Seatbelt y Bubblewrap.
Contenedores de sesión (Session Containers): Exclusivo de Windows 11, este modelo ejecuta el agente en una sesión de Windows separada gestionada por el SO bajo una cuenta distinta, estableciendo límites para el escritorio, el portapapeles, la interfaz de usuario y el entorno de entrada.
Contenedores WSL (WSLc): Diseñado para Windows 11, este backend proporciona un entorno de ejecución Linux a través de WSL para cadenas de herramientas de agentes centradas en Linux y ecosistemas de paquetes, proporcionando al mismo tiempo un modelo de contención distinto cuyas propiedades de seguridad difieren de otros backends de MXC.
Backends MicroVM: Un entorno virtualizado experimental respaldado por hardware disponible en Windows 11 y Linux, diseñado para cargas de trabajo de mayor riesgo que se benefician del aislamiento forzado por hardware.

El siguiente diagrama describe cómo el SDK de MXC dirige las solicitudes de ejecución de aplicaciones a los backends de plataforma aislados:

[Application Launch API]
  Host Application ──> MXC Typed SDK (Rust / .NET / Node) ──> Container Request Engine
                                                                      │
                                                                      ▼
[Platform-Specific Containment Backend]
  Windows 11 (AppContainer / Session / WSLc) │ macOS (Seatbelt) │ Linux (Bubblewrap / LXC)
                                                                      │
                                                                      ▼
[Enforced Policy Execution]
  Sandboxed Workload (Isolated File Paths, Denied Egress Network, Guarded Clipboard)

En los contenedores de procesos de Windows compatibles, MXC proporciona tres modos operativos para la aplicación y el diagnóstico de políticas: Aplicación (Enforcement), Aprendizaje (Learning) y Permisivo (Permissive). En el modo Aplicación, las acciones no concedidas se bloquean inmediatamente. En el modo Aprendizaje, las operaciones no concedidas se bloquean y se registran en un informe de actividad JSON estructurado, lo que permite a los ingenieros identificar los permisos necesarios antes de la implementación. En el modo Permisivo, las acciones no autorizadas se registran pero se permite que continúen, lo que proporciona observabilidad durante la fase de puesta en escena de la política sin interrumpir los flujos de trabajo de desarrollo.

Elección de un backend de contención MXC: Seguridad y compensaciones de rendimiento

A medida que los agentes autónomos se convierten en operadores principales dentro de las redes corporativas, los arquitectos de software deben decidir cómo estructurar los límites de ejecución en pilas de aplicaciones complejas. Las organizaciones de ingeniería se enfrentan a compromisos entre la sobrecarga de implementación, la portabilidad de la plataforma y la profundidad de aislamiento requerida por las diferentes cargas de trabajo de los agentes.

Evaluación arquitectónica: Comparación de modelos de aislamiento

Evaluar los backends de contención requiere equilibrar la sobrecarga de inicio con la fuerza del perímetro de seguridad. Los contenedores de proceso ligeros se inicializan con una latencia mínima, lo que los hace ideales para llamadas a herramientas de alta frecuencia, pero comparten el escritorio más amplio a menos que se configuren de otra manera. Por el contrario, los contenedores de sesión y los límites virtualizados proporcionan una separación estricta a costa de una menor disponibilidad de la plataforma y una mayor sobrecarga de recursos.

La siguiente tabla comparativa evalúa diferentes estrategias de aislamiento disponibles para cargas de trabajo de agentes autónomos:

Estrategia	Modelo de aislamiento	Disponibilidad / Alcance	Principal compensación
Sandbox de proceso nativo del SO	Aislamiento de proceso específico de la plataforma	Depende del sistema operativo	Baja sobrecarga, configuración específica de la plataforma
Contenedor de proceso MXC	Sandbox nativo basado en políticas	Windows 11, macOS, Linux	Abstracción de política unificada, controles dependientes del backend
Contenedor de sesión MXC	Sesión de agente aislada del SO	Solo Windows 11	Separación de escritorio más fuerte, soporte de plataforma más estrecho
Contenedor WSL MXC	Entorno Linux a través de WSL	Solo Windows 11	Compatibilidad con herramientas Linux con propiedades de aislamiento distintas
MicroVM MXC	Virtualización respaldada por hardware	Experimental (Windows 11, Linux)	Mayor potencial de aislamiento, sobrecarga adicional

MXC impone límites de recursos configurados a través de mecanismos de aislamiento de plataforma compatibles, reduciendo el impacto potencial de cargas de trabajo no confiables. La fuerza y la cobertura de esos límites dependen del backend seleccionado y de la configuración de la política. Los desarrolladores deben evaluar si su carga de trabajo prioriza la ejecución de herramientas en menos de un segundo o una separación más fuerte de la sesión del agente del escritorio del usuario interactivo, seleccionando el backend de contención que coincida con el perfil de riesgo de la tarea.

Diagrama de arquitectura de Windows Copilot detallando la inteligencia híbrida y los flujos de trabajo de ejecución local

Lista de verificación de ingeniería: Implementación de contención basada en políticas en flujos de trabajo autónomos

Para preparar las arquitecturas de software para la integración de agentes autónomos y minimizar las superficies de ataque, los equipos de desarrollo deben implementar prácticas de contención estructuradas en sus bases de código.

Lista de verificación para desarrolladores

Definir esquemas JSON declarativos: Autorice políticas de recursos explícitas que enumeren rutas de repositorio de solo lectura, directorios temporales y carpetas del sistema denegadas.
Aplicar filtrado de salida denegado por defecto: Configure reglas de contención de red para bloquear el tráfico saliente por defecto, permitiendo en la lista blanca solo los endpoints de API externos necesarios.
Integrar el SDK tipado de MXC: Incorpore paquetes nativos de Rust, .NET o Node.js en las aplicaciones host para gestionar los ciclos de vida de los contenedores mediante programación.

import { spawn, type ContainerRequest } from '@microsoft/mxc-sdk/v1';

const request: ContainerRequest = {
  command: 'node -e "console.log(\'hello from container\')"',
  network: { egress: { default: 'deny' } },
  timeoutMs: 30_000,
};

const child = await spawn(request);

Utilizar el modo de aprendizaje en hosts Windows: Ejecute suites de prueba de agentes en modo de aprendizaje en contenedores de procesos de Windows compatibles para capturar intentos de acceso bloqueados y generar artefactos de políticas de privilegios mínimos.

Lista de verificación de seguridad y gobernanza

Revisar los límites de contención actuales: Implemente contenedores de procesos o de sesión según la sensibilidad de los datos y las herramientas expuestas a las cargas de trabajo de agentes locales.
Prepararse para los próximos controles de identidad: Planifique arquitecturas de autenticación en torno a las futuras capacidades de Microsoft Entra que distinguirán las acciones automatizadas de los agentes de las credenciales de los usuarios humanos.
Evaluar la gobernanza de políticas centralizada: Siga la hoja de ruta de desarrollo para las políticas de gestión de Microsoft Intune, que están planificadas para admitir la gobernanza central de los contenedores MXC en dispositivos empresariales.

Preguntas frecuentes (FAQ)

¿Cómo restringe MXC que un agente autónomo exceda sus permisos?

MXC coloca una carga de trabajo de agente dentro de un límite de contención configurado por el desarrollador u organización y aplicado por el backend del sistema operativo seleccionado. La carga de trabajo no puede simplemente editar su propia política a nivel de aplicación para obtener recursos adicionales. Las operaciones no autorizadas de archivos, red o interfaz pueden restringirse según las reglas configuradas. Sin embargo, las garantías de seguridad exactas dependen del backend, la plataforma host y la configuración de la política; MXC no debe presentarse como una protección contra todas las vulnerabilidades de escalada de privilegios posibles.

¿Cuál es la diferencia entre un contenedor de procesos y un contenedor de sesión?

Un contenedor de procesos ejecuta cargas de trabajo dentro de sandboxes específicos de la plataforma, como AppContainer, Seatbelt o Bubblewrap, con restricciones determinadas por el backend seleccionado y la configuración de la política. Un contenedor de sesión, disponible en entornos Windows 11 compatibles, ejecuta el agente en una sesión gestionada por el SO separada bajo una cuenta de Windows distinta. Esto separa el escritorio, el portapapeles, la interfaz de usuario y el entorno de entrada del agente de la sesión del usuario interactivo. Las capacidades de ejecución e interacción admitidas de la sesión dependen del backend de MXC específico y del método de invocación.

¿Se pueden aplicar las políticas de MXC en sistemas macOS y Linux?

Sí. El SDK de MXC utiliza un esquema de política JSON unificado que se mapea a backends de aislamiento apropiados para la plataforma en todos los sistemas operativos, incluidos Seatbelt en macOS y Bubblewrap o LXC en Linux. Sin embargo, las capacidades de la plataforma varían: los contenedores de sesión, los contenedores WSL y los informes de actividad JSON generados en el modo Aprendizaje son específicos para hosts Windows.

Conclusiones clave para los equipos de ingeniería

La introducción de Microsoft Execution Containers señala un cambio importante en la ingeniería de IA, estableciendo que los agentes autónomos deben operar dentro de perímetros de seguridad gestionados. A medida que los sistemas de software delegan las modificaciones de archivos, la ejecución de shell y las integraciones de API a modelos generativos, depender de tiempos de ejecución sin contención expone a la infraestructura a graves riesgos operativos.

Las organizaciones de ingeniería deben adoptar principios de "contención por diseño" en sus tuberías de desarrollo. Al implementar sandboxing basado en políticas, prepararse para la próxima gobernanza de identidad de agentes y seleccionar backends de contención que coincidan con los perfiles de riesgo de la carga de trabajo, los arquitectos de software pueden aprovechar la productividad de la IA autónoma mientras mantienen perímetros defensivos sólidos en las plataformas informáticas modernas.

Referencias

Blog de Microsoft Developer — Contención basada en políticas para agentes de IA — Anuncio oficial que detalla la arquitectura de MXC, los backends de contención y la hoja de ruta de identidad de los agentes.
Repositorio de GitHub de Microsoft MXC — Repositorio de código abierto que contiene SDKs tipados para Rust, .NET y Node.js junto con definiciones de esquema.
Blog de Windows Experience — Inteligencia híbrida en PC Copilot+ — Descripción general de los modelos de IA local, acciones en todo el SO y compatibilidad con contenedores de ejecución de Windows.