Запуск Microsoft Execution Containers: как MXC изолирует ИИ-агентов

Состоялся ли запуск Microsoft Execution Containers? 7 октября 2026 года компания Microsoft объявила об общедоступности Microsoft Execution Containers (MXC) — уровня изоляции на основе политик, предназначенного для контроля того, как автономные ИИ-агенты выполняют код, взаимодействуют с локальными файловыми системами и обращаются к сетевым ресурсам. Разработанный Логаном Айером, корпоративным вице-президентом по платформе Windows и разработчикам, этот многоязычный SDK позволяет командам разработчиков принудительно ограничивать среду выполнения вне прямых полномочий рабочей нагрузки агента. Поскольку системы искусственного интеллекта переходят от простых разговорных помощников к автономным агентам, способным изменять системные файлы и выполнять локальные команды терминала, неконтролируемые среды выполнения создают серьезные угрозы безопасности. Абстрагируя песочницы уровня операционной системы в единую схему конфигурации для Windows, macOS и Linux, новый фреймворк предотвращает выход недоверенных рабочих нагрузок за рамки ресурсов, предоставленных поддерживаемыми механизмами изоляции ОС.

Почему ИИ-агентам нужны независимые границы выполнения

Краткий обзор

Microsoft выпустила Microsoft Execution Containers (MXC), обеспечивающие изоляцию процессов и сессий на основе политик для ИИ-агентов в Windows, macOS и Linux.
Архитектура отделяет определение политик от выполнения агента, гарантируя, что автономные модели и сгенерированный ими код не смогут самостоятельно расширить свои права доступа.
Microsoft выделяет три столпа безопасности агентов: изоляция, идентификация и управляемость. На текущий момент реализована изоляция через MXC, а возможности идентификации в Entra и управления в Intune запланированы к выпуску в будущем.

Внедрение автономных ИИ-агентов изменило процессы разработки ПО и корпоративные рабочие процессы. В отличие от традиционных разговорных интерфейсов, которые лишь генерируют текстовые ответы, современные агентные системы взаимодействуют с вычислительными средами напрямую. Эти автономные исполнители пишут код, запускают команды терминала, изменяют локальные репозитории и взаимодействуют с внешними API для выполнения сложных многоэтапных задач. Хотя такой уровень автономии значительно повышает продуктивность, предоставление моделям неограниченного доступа к ОС создает серьезные риски безопасности.

Фундаментальная архитектурная проблема заключается в границах полномочий. Автономный агент не может безопасно выступать в роли собственного контролера безопасности. Например, агент для написания кода, которому поручено обновление репозитория приложения, может решить, что изменение настроек ОС или редактирование конфигураций локального сервера — самый быстрый путь к выполнению задачи. Хотя с точки зрения модели это логично, такие действия выходят за рамки операционных границ, установленных разработчиками, и могут привести к раскрытию конфиденциальных файлов или дестабилизации производственных сред.

Представитель Microsoft демонстрирует архитектуру изоляции среды выполнения MXC SDK для автономных ИИ-агентов

Документация Microsoft описывает MXC как уровень изоляции для недоверенных рабочих нагрузок, управляемый политиками. Согласно официальному анонсу для разработчиков Windows, платформа организует безопасность агентов вокруг трех основных столпов: изоляция, идентификация и управляемость. Хотя изоляция MXC уже доступна, расширенные возможности Microsoft Entra для идентификации агентов и политики Microsoft Intune для управления локальными контейнерами процессов запланированы в будущих релизах. Ограничивая выполнение на уровне ОС, организации могут запретить недоверенным рабочим нагрузкам доступ к неавторизованным файловым путям или сетевым сокетам.

Техническая архитектура: механизмы изоляции на основе политик

Понимание технического дизайна Microsoft Execution Containers требует анализа того, как фреймворк отделяет определение политик от механизмов изоляции, специфичных для каждой платформы. Разработчики декларируют необходимые для рабочей нагрузки аппаратные ресурсы, файловую систему и сетевые параметры, используя версионируемую JSON-схему. Затем среда выполнения MXC сопоставляет эти абстрактные требования с соответствующими механизмами платформы на хост-машине.

Вместо того чтобы заставлять разработчиков писать уникальную логику изоляции для каждой ОС, MXC предоставляет типизированные SDK на языках Rust, .NET и Node.js. В Windows 11 фреймворк использует нативные песочницы AppContainer, в то время как на macOS он задействует Seatbelt, а на Linux — Bubblewrap или LXC. Для стеков разработки, ориентированных на Linux, которые работают на хостах Windows, MXC предусматривает легкие контейнеры WSL (WSLc) для поддержания совместимости пакетов, как подробно описано в open-source репозитории MXC.

Обзор отраслевых партнеров, интегрирующих Microsoft Execution Containers в коммерческие и open-source агентные фреймворки

Спектр изоляции: от песочниц процессов до контейнеров сессий

Различным ИИ-задачам требуется разная степень безопасности. Локальному агенту для проверки кода (linting) требуется минимальная задержка при запуске, тогда как автономному веб-агенту, обрабатывающему непроверенные внешние скрипты, требуется строгая изоляция. Для удовлетворения этих различных потребностей MXC предлагает целый спектр механизмов изоляции:

Контейнеры процессов (Process Containers): Легковесная изоляция на уровне процессов, подходящая для быстрого выполнения кода и вызова инструментов. Поддерживается нативно в Windows 11, macOS и Linux с использованием соответствующих примитивов: AppContainer, Seatbelt и Bubblewrap.
Контейнеры сессий (Session Containers): Уникальная функция Windows 11, позволяющая запускать агента в отдельной сессии Windows под отдельной учетной записью, что создает границы для рабочего стола, буфера обмена, пользовательского интерфейса и среды ввода.
Контейнеры WSL (WSLc): Разработаны для Windows 11, этот бэкенд предоставляет среду выполнения Linux через WSL для Linux-ориентированных инструментариев агентов и экосистем пакетов, при этом обеспечивая отдельную модель изоляции с характеристиками безопасности, отличными от других бэкендов MXC.
Бэкенды MicroVM: Экспериментальная среда виртуализации на аппаратном уровне, доступная в Windows 11 и Linux, предназначенная для высокорисковых рабочих нагрузок, требующих аппаратной изоляции.

На приведенной ниже диаграмме показано, как MXC SDK направляет запросы на выполнение приложения к изолированным бэкендам платформы:

[API запуска приложения]
  Хост-приложение ──> MXC Typed SDK (Rust / .NET / Node) ──> Механизм запроса контейнера
                                                                      │
                                                                      ▼
[Бэкенд изоляции для конкретной платформы]
  Windows 11 (AppContainer / Session / WSLc) │ macOS (Seatbelt) │ Linux (Bubblewrap / LXC)
                                                                      │
                                                                      ▼
[Исполнение заданной политики]
  Изолированная нагрузка (ограниченные файловые пути, запрет исходящего трафика, защита буфера обмена)

Для поддерживаемых контейнеров процессов в Windows MXC предоставляет три режима исполнения и диагностики политик: Enforcement (Принудительное применение), Learning (Обучение) и Permissive (Разрешительный). В режиме Enforcement несанкционированные действия немедленно блокируются. В режиме Learning операции блокируются и записываются в структурированный JSON-отчет, что позволяет инженерам определить необходимые разрешения перед развертыванием. В режиме Permissive несанкционированные действия лишь логируются, обеспечивая наблюдаемость в процессе настройки политик без остановки рабочих процессов.

Выбор бэкенда изоляции MXC: компромиссы между безопасностью и производительностью

По мере того как автономные агенты становятся ключевыми исполнителями в корпоративных сетях, архитекторы должны решать, как структурировать границы выполнения в сложных стеках приложений. Инженерные организации сталкиваются с необходимостью балансировать между накладными расходами на внедрение, переносимостью между платформами и уровнем изоляции, требуемым для разных агентов.

Архитектурная оценка: сравнение моделей изоляции

Оценка бэкендов требует поиска баланса между задержкой запуска и надежностью периметра безопасности. Легковесные контейнеры процессов запускаются с минимальной задержкой, что делает их идеальными для частого вызова инструментов, но они используют общий сеанс рабочего стола, если не настроено иное. Напротив, контейнеры сессий и виртуализированные среды обеспечивают строгую изоляцию ценой ограниченной поддержки платформ и более высоких потребляемых ресурсов.

В сравнительной таблице ниже оцениваются стратегии изоляции для рабочих нагрузок автономных агентов:

Стратегия	Модель изоляции	Доступность / Область применения	Основной компромисс
OS-Native Process Sandbox	Изоляция процессов на уровне ОС	Зависит от ОС	Низкие затраты ресурсов, специфичная для платформы настройка
MXC Process Container	Песочница, управляемая политиками	Windows 11, macOS, Linux	Единая абстракция политик, зависимость контроля от бэкенда
MXC Session Container	Изолированная сессия агента	Только Windows 11	Более строгая изоляция рабочего стола, узкая поддержка ОС
MXC WSL Container	Среда Linux через WSL	Только Windows 11	Совместимость с инструментами Linux с особыми свойствами изоляции
MXC MicroVM	Аппаратная виртуализация	Экспериментально (Windows 11, Linux)	Потенциально более высокая изоляция, дополнительные затраты ресурсов

MXC принудительно устанавливает границы ресурсов через поддерживаемые механизмы изоляции, снижая потенциальное воздействие недоверенных нагрузок. Мощность и покрытие этих границ зависят от выбранного бэкенда и настроек политик. Разработчикам следует оценить, является ли их приоритетом исполнение инструментов менее чем за секунду или более строгая изоляция сессии агента от рабочего стола пользователя, выбирая бэкенд, соответствующий профилю рисков задачи.

Диаграмма архитектуры Windows Copilot, детализирующая гибридный интеллект и рабочие процессы локального выполнения

Чек-лист инженера: внедрение изоляции на основе политик в автономные рабочие процессы

Чтобы подготовить архитектуры ПО к интеграции автономных агентов и минимизировать поверхности атаки, команды разработчиков должны внедрять структурированные методы изоляции в свои кодовые базы.

Чек-лист для разработчиков

Определите декларативные JSON-схемы: Создавайте явные политики ресурсов, перечисляющие пути к репозиториям (только для чтения), временные рабочие директории и запрещенные системные папки.
Принудительная фильтрация исходящего трафика (Default-Deny): Настройте сетевые правила для блокировки всех исходящих соединений по умолчанию, разрешая (whitelist) только необходимые конечные точки API.
Интегрируйте типизированный MXC SDK: Внедрите пакеты Rust, .NET или Node.js в хост-приложения для программного управления жизненным циклом контейнеров.

import { spawn, type ContainerRequest } from '@microsoft/mxc-sdk/v1';

const request: ContainerRequest = {
  command: 'node -e "console.log(\'hello from container\')"',
  network: { egress: { default: 'deny' } },
  timeoutMs: 30_000,
};

const child = await spawn(request);

Используйте режим Learning на Windows-хостах: Запускайте тестовые наборы агентов в режиме Learning на поддерживаемых контейнерах процессов Windows, чтобы зафиксировать попытки несанкционированного доступа и создать политики минимальных привилегий.

Чек-лист по безопасности и управлению

Проверьте текущие границы изоляции: Внедряйте контейнеры процессов или сессий исходя из чувствительности данных и инструментов, доступных локальным рабочим нагрузкам агентов.
Подготовьтесь к будущим элементам управления идентификацией: Планируйте архитектуры аутентификации с учетом будущих возможностей Microsoft Entra, которые будут различать действия автоматизированных агентов и учетные данные пользователей-людей.
Оцените централизованное управление политиками: Следите за дорожной картой политик управления Microsoft Intune, которые в будущем будут поддерживать централизованное управление контейнерами MXC на корпоративных устройствах.

Часто задаваемые вопросы (FAQ)

Как MXC ограничивает возможность автономного агента выходить за рамки его прав доступа?

MXC помещает рабочую нагрузку агента в границы изоляции, сконфигурированные разработчиком или организацией и обеспечиваемые выбранным бэкендом операционной системы. Рабочая нагрузка не может просто изменить свою собственную политику на уровне приложения, чтобы получить дополнительные ресурсы. Несанкционированные операции с файлами, сетью или интерфейсом могут быть ограничены в соответствии с заданными правилами. Однако точные гарантии безопасности зависят от бэкенда, хост-платформы и конфигурации политики; MXC не следует представлять как защиту от любой возможной уязвимости повышения привилегий.

В чем разница между контейнером процесса и контейнером сессии?

Контейнер процесса выполняет рабочие нагрузки в песочницах, специфичных для конкретной платформы (например, AppContainer, Seatbelt или Bubblewrap), с ограничениями, определяемыми выбранным бэкендом и конфигурацией политики. Контейнер сессии, доступный в поддерживаемых средах Windows 11, запускает агента в отдельной сессии под отдельной учетной записью Windows. Это отделяет рабочий стол, буфер обмена, пользовательский интерфейс и среду ввода агента от сессии активного пользователя. Поддерживаемые возможности выполнения и взаимодействия в рамках сессии зависят от конкретного бэкенда MXC и метода вызова.

Могут ли политики MXC применяться в системах macOS и Linux?

Да. MXC SDK использует единую схему политик JSON, которая сопоставляется с соответствующими бэкендами изоляции в различных ОС, включая Seatbelt на macOS и Bubblewrap или LXC на Linux. Однако возможности платформ различаются: контейнеры сессий, контейнеры WSL и JSON-отчеты об активности, созданные в режиме Learning, специфичны только для хостов Windows.

Основные выводы для инженерных команд

Запуск Microsoft Execution Containers знаменует собой важный сдвиг в разработке систем с ИИ, устанавливая стандарт, согласно которому автономные агенты должны работать в рамках управляемых периметров безопасности. Поскольку программные системы делегируют генеративным моделям модификацию файлов, выполнение команд оболочки и интеграцию API, использование неизолированных сред выполнения подвергает инфраструктуру серьезным рискам.

Инженерным организациям следует принять принципы изоляции «по умолчанию» (containment-by-design) в своих конвейерах разработки. Внедряя песочницы на основе политик, готовясь к будущему управлению идентификацией агентов и выбирая бэкенды изоляции, соответствующие профилю рисков конкретных задач, архитекторы смогут использовать продуктивность автономного ИИ, сохраняя надежные защитные периметры на современных вычислительных платформах.

Ссылки

Блог для разработчиков Microsoft — Изоляция ИИ-агентов на основе политик — Официальный анонс с описанием архитектуры MXC, бэкендов изоляции и дорожной карты идентификации агентов.
GitHub-репозиторий Microsoft MXC — Open-source репозиторий, содержащий типизированные SDK для Rust, .NET и Node.js, а также определения схем.
Блог Windows Experience — Гибридный интеллект на ПК Copilot+ — Обзор локальных моделей ИИ, действий на уровне ОС и поддержки контейнеров выполнения в Windows.