微軟推出 Execution Containers？MXC 如何隔離 AI 代理

微軟正式發布 Microsoft Execution Containers？微軟於 2026 年 10 月 7 日宣布 Microsoft Execution Containers (MXC) 正式版全面推出，這是一種策略驅動的隔離層，旨在控管自主 AI 代理如何執行程式碼、與本機檔案系統互動以及存取網路目標。此功能由 Windows 平台與開發者部門副總裁 Logan Iyer 引入，透過多語言 SDK，開發團隊能夠在代理工作負載的直接權限之外，強制執行執行時期的邊界限制。隨著人工智慧系統從被動式對話助手轉向具備修改系統檔案與執行本機 Shell 指令能力的自主代理，不受管理的執行環境帶來了嚴重的資安漏洞。透過將作業系統層級的沙盒抽象化為統一的設定架構，並支援 Windows、macOS 與 Linux，此新架構能限制未受信任的工作負載，防止其逾越作業系統容器後端所授予的資源權限。

為何 AI 代理需要獨立的執行邊界

核心要點

微軟發布 Microsoft Execution Containers (MXC) 正式版，為 Windows、macOS 與 Linux 上的 AI 代理提供策略驅動的處理程序與工作階段隔離。
該架構將策略定義與代理執行分離，確保自主模型與生成的程式碼無法自行提升權限。
微軟將隔離、身分識別與可管理性視為代理安全的三大支柱，MXC 隔離現已上線，而 Entra 身分識別與 Intune 治理功能則計畫於未來推出。

自主 AI 代理的部署已徹底改變了軟體開發與企業工作流程。與僅生成文字答案的傳統對話介面不同，現代代理系統能直接與運算環境互動。這些自主工作者可以編寫程式碼、執行終端機指令、修改本機儲存庫，並透過外部 API 完成複雜的跨步驟任務。雖然這種自主性帶來了顯著的生產力提升，但授予模型不受限制的作業系統存取權會引發嚴重的資安風險。

基本的架構兩難在於權限邊界。自主代理無法安全地充當自己的安全守門員。例如，負責更新應用程式儲存庫的編寫代理可能會認為修改底層作業系統設定或編輯本機伺服器組態是完成任務的最快路徑。雖然從模型的狹隘任務視角來看這很合理，但此類操作已超出開發者所規劃的作業邊界，可能導致敏感檔案外洩或導致生產環境不穩定。

微軟高階主管展示用於自主 AI 代理的 MXC SDK 執行時期隔離架構

微軟文件將 MXC 描述為一種針對不受信任工作負載的策略驅動隔離層。根據官方 Windows 開發者公告，該平台圍繞著隔離、身分識別與可管理性這三大核心支柱建構代理安全性。雖然 MXC 隔離機制目前已全面開放，但後續將推出的 Microsoft Entra 功能將可辨識代理身分，而 Microsoft Intune 政策則預計用於管理本機處理程序容器。透過在作業系統層級強制執行邊界，企業可限制不受信任的工作負載存取未經授權的檔案路徑或開啟未經授權的網路通訊埠。

技術架構剖析：策略驅動的隔離後端

了解 Microsoft Execution Containers 的技術設計，需分析該架構如何將策略定義與平台特定的隔離基元解耦。開發者使用版本化的 JSON 架構宣告工作負載所需的硬體、檔案系統與網路資源。隨後，MXC 執行時期會將這些抽象需求對應至主機上的適當平台後端。

MXC 並不強迫開發者為每個作業系統編寫客製化的隔離邏輯，而是提供 Rust、.NET 與 Node.js 的型別化 SDK。在 Windows 11 上，該架構利用原生的 AppContainer 沙盒，同時在 macOS 上對應至 Seatbelt，在 Linux 上對應至 Bubblewrap 或 LXC。針對在 Windows 主機上執行的 Linux 開發堆疊，MXC 提供輕量級的 WSL 容器 (WSLc) 以維持套件相容性，詳見開源 MXC 儲存庫。

整合 Microsoft Execution Containers 的產業合作夥伴概覽

隔離頻譜：從處理程序沙盒到工作階段容器

不同的 AI 工作負載需要不同程度的安全隔離。針對 Git 儲存庫執行的本機檢查代理需要極短的啟動延遲，而處理未經檢核之外部指令碼的自主網頁瀏覽代理則要求嚴格的邊界強制執行。為了解決這些不同的營運需求，MXC 提供了多元的隔離後端：

處理程序容器 (Process Containers)：輕量級處理程序層級的沙盒，適合靈敏的程式碼執行與工具呼叫，原生支援 Windows 11、macOS 與 Linux，並使用如 AppContainer、Seatbelt 與 Bubblewrap 等平台對應基元。
工作階段容器 (Session Containers)：Windows 11 限定，此模型在不同的 Windows 帳戶下將代理執行於獨立的 OS 管理工作階段中，為桌面、剪貼簿、使用者介面與輸入環境建立邊界。
WSL 容器 (WSLc)：專為 Windows 11 設計，透過 WSL 為 Linux 優先的代理工具鏈與套件生態系統提供 Linux 執行環境，同時提供與其他 MXC 後端安全性屬性不同的隔離模型。
MicroVM 後端：一種實驗性、以硬體為基礎的虛擬化環境，支援 Windows 11 與 Linux，專為高風險工作負載所設計，並受惠於硬體強制隔離。

下圖概述 MXC SDK 如何將應用程式執行請求路由至隔離的平台後端：

[應用程式啟動 API]
  主機應用程式 ──> MXC 型別化 SDK (Rust / .NET / Node) ──> 容器請求引擎
                                                                      │
                                                                      ▼
[平台特定隔離後端]
  Windows 11 (AppContainer / Session / WSLc) │ macOS (Seatbelt) │ Linux (Bubblewrap / LXC)
                                                                      │
                                                                      ▼
[強制執行策略]
  沙盒工作負載 (隔離的檔案路徑、禁止的外部網路、受防護的剪貼簿)

在支援的 Windows 處理程序容器上，MXC 提供三種執行模式以進行強制執行與策略診斷：強制模式 (Enforcement)、學習模式 (Learning) 與寬鬆模式 (Permissive)。在強制模式下，未經授權的操作將被立即阻擋。在學習模式下，未經授權的操作會被阻擋並記錄在結構化的 JSON 活動報告中，工程師可在部署前釐清必要權限。在寬鬆模式下，未經授權的操作會被記錄但允許執行，提供策略配置期間的可觀測性，而不中斷開發工作流程。

選擇 MXC 隔離後端：安全性與效能的權衡

隨著自主代理成為企業網路中的主要操作者，軟體架構師必須決定如何在複雜的應用程式堆疊中建立執行邊界。工程組織面臨實作開銷、平台移植性以及不同代理工作負載所需隔離深度之間的取捨。

架構評估：隔離模型比較

評估隔離後端時，需在啟動開銷與安全邊界的強度之間取得平衡。輕量級處理程序容器以極低延遲初始化，非常適合高頻率的工具呼叫，但除非另外設定，否則它們會共用較廣的桌面工作階段。相反地，工作階段容器與虛擬化邊界提供嚴格的隔離，但代價是較窄的平台支援性與較高的資源開銷。

下表評估了自主代理工作負載可用的不同隔離策略：

策略	隔離模型	可用性 / 範圍	主要權衡
OS 原生處理程序沙盒	平台特定處理程序隔離	視作業系統而定	低開銷、需進行平台特定設定
MXC 處理程序容器	策略驅動的原生沙盒	Windows 11、macOS、Linux	統一的策略抽象、後端相依控制
MXC 工作階段容器	獨立的 OS 隔離代理工作階段	僅限 Windows 11	更強的桌面隔離、平台支援較窄
MXC WSL 容器	透過 WSL 的 Linux 環境	僅限 Windows 11	具備不同隔離屬性的 Linux 工具相容性
MXC MicroVM	以硬體為基礎的虛擬化	實驗性 (Windows 11、Linux)	更強的隔離潛力、額外開銷

MXC 透過支援的平台隔離機制強制執行設定的資源邊界，降低不受信任工作負載的潛在影響。這些邊界的強度與覆蓋範圍取決於所選的後端與策略配置。開發者必須評估其工作負載是優先考慮次秒級的工具執行，還是將代理工作階段與互動式使用者桌面進行更強的隔離，並選擇與任務風險概況相符的隔離後端。

Windows Copilot 架構圖，詳述混合智慧與本機執行工作流程

工程清單：在自主工作流程中實作策略驅動的隔離

為了在最小化攻擊面的同時準備好軟體架構以進行自主代理整合，開發團隊應在程式碼庫中實作結構化的隔離實踐。

開發者實作清單

定義宣告式 JSON 架構：編寫明確的資源策略，詳列唯讀儲存庫路徑、暫存區目錄以及禁止存取的系統資料夾。
強制執行預設拒絕 (Default-Deny) 輸出過濾：設定網路隔離規則以預設封鎖對外流量，僅將必要的外部 API 端點加入白名單。
整合型別化 MXC SDK：將原生的 Rust、.NET 或 Node.js 套件併入主機應用程式，以程式化方式管理容器生命週期。

import { spawn, type ContainerRequest } from '@microsoft/mxc-sdk/v1';

const request: ContainerRequest = {
  command: 'node -e "console.log(\'hello from container\')"',
  network: { egress: { default: 'deny' } },
  timeoutMs: 30_000,
};

const child = await spawn(request);

在 Windows 主機上利用學習模式：在支援的 Windows 處理程序容器上執行代理測試套件，以捕捉遭到阻擋的存取嘗試，並產生最小權限策略人工製品。

安全性與治理清單

審核現有隔離邊界：根據本機代理工作負載所曝露的資料與工具敏感度，實作處理程序或工作階段容器。
為即將到來的身分控管做好準備：規劃圍繞未來 Microsoft Entra 功能的驗證架構，以區分自動化代理操作與人類使用者的登入憑證。
評估集中式策略治理：追蹤 Microsoft Intune 管理政策的發展路線圖，該政策規劃將支援對企業裝置上的 MXC 容器進行集中治理。

常見問題 (FAQ)

MXC 如何限制自主代理超出其權限？

MXC 將代理工作負載放置在由開發者或組織設定，並由選定的作業系統後端所強制執行的隔離邊界內。工作負載無法簡單地編輯其自身的應用程式層級策略以獲得額外資源。未經授權的檔案、網路或介面操作均可根據設定的規則進行限制。然而，確切的安全保證取決於後端、主機平台與策略配置；MXC 不應被視為防範所有可能提權漏洞的萬能防護。

處理程序容器與工作階段容器有何不同？

處理程序容器在平台特定的沙盒（如 AppContainer、Seatbelt 或 Bubblewrap）內執行工作負載，其限制取決於選定的後端與策略配置。工作階段容器（僅適用於支援的 Windows 11 環境）則在不同的 Windows 帳戶下，將代理執行於獨立的 OS 管理工作階段中。這能將代理的桌面、剪貼簿、使用者介面與輸入環境與互動式使用者的工作階段區隔開來。工作階段所支援的執行與互動能力取決於具體的 MXC 後端與呼叫方式。

MXC 策略可以在 macOS 與 Linux 系統上強制執行嗎？

可以。MXC SDK 使用統一的 JSON 策略架構，可對應至跨作業系統的適當平台隔離後端，包括 macOS 上的 Seatbelt，以及 Linux 上的 Bubblewrap 或 LXC。不過，平台功能各異：工作階段容器、WSL 容器以及在學習模式中產生的 JSON 活動報告均為 Windows 主機專屬。

工程團隊的關鍵總結

Microsoft Execution Containers 的推出象徵 AI 工程領域的重大轉變，確立了自主代理必須在受管理的安全性邊界內運作。隨著軟體系統將檔案修改、Shell 執行與 API 整合委派給生成式模型，若依賴未經隔離的執行時期，將使基礎架構暴露於嚴重的營運風險之中。

工程組織應在開發管道中採取「設計即隔離」的原則。透過實作策略驅動的沙盒機制、為即將到來的代理身分治理做好準備，並選擇符合工作負載風險設定的隔離後端，軟體架構師便能在現代運算平台上發揮自主 AI 的生產力，同時維持穩健的防禦邊界。

參考資料

微軟開發者部落格 — 針對 AI 代理的策略驅動隔離 — 詳述 MXC 架構、隔離後端與代理身分路線圖的官方公告。
微軟 MXC GitHub 儲存庫 — 包含 Rust、.NET 與 Node.js 的型別化 SDK 以及架構定義的開源儲存庫。
Windows 體驗部落格 — Copilot+ 電腦上的混合智慧 — 關於本機 AI 模型、OS 層級動作與 Windows 執行容器支援的概覽。