Microsoft Execution Containers 发布：MXC 如何为 AI Agent 构建沙盒环境

Microsoft Execution Containers 发布了吗？微软于 2026 年 10 月 7 日宣布 Microsoft Execution Containers (MXC) 正式商用，提供了一层由策略驱动的容器化技术，旨在严控自主 AI Agent 执行代码、操作本地文件系统及访问网络资源的方式。该项目由 Windows 平台与开发者事务副总裁 Logan Iyer 领导推出，其多语言 SDK 允许开发团队在 Agent 的直接权限范围之外，强制执行运行时边界。随着人工智能系统正从被动的对话助手转型为能够修改系统文件和执行本地 Shell 命令的自主 Agent，缺乏管理的执行环境会带来严重的安全隐患。通过将操作系统级别的沙盒抽象为跨 Windows、macOS 和 Linux 的统一配置模式，这一全新框架能有效限制不受信任的工作负载，使其无法逾越宿主操作系统容器化后端所分配的资源权限。

为何 AI Agent 需要独立的执行边界

核心要点

• 微软正式发布 Microsoft Execution Containers (MXC)，为 Windows、macOS 和 Linux 上的 AI Agent 提供策略驱动的进程与会话容器化能力。
• 架构层面将策略定义与 Agent 执行相分离，确保自主模型及生成的代码无法自行提升权限。
• 微软将容器化、身份验证与可管理性视为 Agent 安全的三大支柱，其中 MXC 容器化现已可用，而 Entra 身份验证和 Intune 治理能力计划在未来发布。

自主 AI Agent 的部署已深度重塑了软件开发与企业工作流。与仅能生成文本回答的传统对话界面不同，现代 Agent 系统能直接与计算环境交互。这些自主型“员工”能够编写代码、执行终端命令、修改本地仓库，并调用外部 API 以完成复杂的多步骤任务。虽然这种高度自主性带来了生产力的飞跃，但若允许模型拥有不受限制的系统访问权，将引发重大的安全风险。

其核心架构困境在于权限边界。自主 Agent 本身无法充当自身安全的“看门人”。例如，一个负责更新应用仓库的编码 Agent 可能会认为，修改底层的操作系统设置或编辑本地服务器配置是完成任务最快的方式。尽管从模型狭窄的任务视角来看这很合理，但此类操作已超出了开发人员设定的运行边界，极可能导致敏感文件泄露或造成生产环境不稳定。

微软的文档将 MXC 描述为一种针对不受信任工作负载的策略驱动型容器化层。根据官方 Windows 开发者公告，该平台围绕容器化、身份验证和可管理性这三大核心构建 Agent 安全体系。尽管 MXC 容器化功能已于今日正式可用，但旨在识别 Agent 身份的 Microsoft Entra 能力，以及用于管理本地进程容器的 Microsoft Intune 策略，均计划在未来版本中推出。通过在操作系统层面强制执行边界，企业可以防止不受信任的工作负载访问未经授权的文件路径或开启未经许可的网络套接字。

深入底层架构：策略驱动的隔离后端

理解 Microsoft Execution Containers 的技术设计，需要深入分析该框架如何将策略定义与平台特定的容器化原语进行解耦。开发人员使用版本化的 JSON 模式（Schema）来声明工作负载所需的硬件、文件系统和网络资源。随后，MXC 运行时会将这些抽象需求映射到宿主机上合适的平台后端。

MXC 无需开发者为每个操作系统编写定制的隔离逻辑，而是提供了 Rust、.NET 和 Node.js 类型的 SDK。在 Windows 11 上，该框架利用原生的 AppContainer 沙盒；而在 macOS 上映射至 Seatbelt，在 Linux 上则通过 Bubblewrap 或 LXC 实现。针对运行在 Windows 宿主机上的 Linux 开发技术栈，MXC 提供了轻量级的 WSL 容器 (WSLc) 以维持包兼容性，详细信息可参考 开源 MXC 代码库。

隔离谱系：从进程沙盒到会话容器

不同的 AI 工作负载对安全隔离的要求各异。针对 Git 仓库运行的本地代码检查 Agent 需要极低的启动延迟，而处理不可信外部脚本的自主网页浏览 Agent 则需要严格的边界封锁。为满足这些差异化的运维需求，MXC 提供了一系列容器化后端：

• 进程容器 (Process Containers)：轻量级的进程级沙盒，适用于响应式的代码执行和工具调用，通过 AppContainer、Seatbelt 和 Bubblewrap 等平台原语在 Windows 11、macOS 和 Linux 上实现原生支持。
• 会话容器 (Session Containers)：仅限 Windows 11，该模式在独立的操作系统托管会话中运行 Agent，并拥有独立的账户，从而在桌面环境、剪贴板、用户界面和输入环境之间建立物理隔离。
• WSL 容器 (WSLc)：专为 Windows 11 设计，该后端通过 WSL 为以 Linux 为优先的 Agent 工具链和包生态提供执行环境，同时提供一种隔离属性不同于其他 MXC 后端的容器化模型。
• 微虚拟机后端 (MicroVM Backends)：一种实验性的硬件支持虚拟化环境，适用于 Windows 11 和 Linux，专为需要硬件级隔离保护的高风险工作负载设计。

下图展示了 MXC SDK 如何将应用执行请求路由至隔离的平台后端：

[应用启动 API]
  宿主应用 ──> MXC Typed SDK (Rust / .NET / Node) ──> 容器请求引擎
                                                                      │
                                                                      ▼
[平台特定容器化后端]
  Windows 11 (AppContainer / Session / WSLc) │ macOS (Seatbelt) │ Linux (Bubblewrap / LXC)
                                                                      │
                                                                      ▼
[策略执行]
  沙盒工作负载 (隔离文件路径、拒绝出口网络、剪贴板防护)

在支持的 Windows 进程容器上，MXC 提供三种运行模式用于执行和策略诊断：强制模式 (Enforcement)、学习模式 (Learning) 和允许模式 (Permissive)。在强制模式下，未经授权的操作会被立即拦截。在学习模式下，未经授权的操作会被拦截并记录在结构化的 JSON 活动报告中，方便工程师在部署前确定所需的必要权限。在允许模式下，违规操作仅会被日志记录，但不会中断流程，从而在策略配置阶段实现可观测性，且不影响正常的开发工作流。

选择 MXC 容器化后端：安全与性能的平衡

随着自主 Agent 成为企业网络中的主要操作主体，软件架构师必须决定如何在复杂的应用栈中构建执行边界。工程组织面临着实现成本、平台可移植性以及不同 Agent 工作负载所需隔离深度之间的博弈。

架构评估：隔离模型对比

评估容器化后端时，需要在启动开销与安全边界强度之间取得平衡。轻量级进程容器初始化延迟极小，非常适合高频的工具调用，但除非特别配置，否则它们会共享更广泛的桌面会话。相反，会话容器和虚拟化边界提供了更强的隔离，但代价是平台兼容性受限且资源开销更大。

下表评估了自主 Agent 工作负载可用的不同隔离策略：

MXC 通过支持的平台隔离机制强制执行配置的资源边界，从而降低不受信任工作负载的潜在影响。这些边界的强度和覆盖范围取决于所选的后端及策略配置。开发者必须权衡他们的工作负载是优先考虑亚秒级的工具执行，还是优先考虑将 Agent 会话与交互式用户桌面进行强隔离，并选择最匹配任务风险配置的容器化后端。

工程清单：在自主工作流中实施策略驱动的容器化

为在最小化攻击面的前提下准备自主 Agent 的集成，开发团队应在代码库中实施结构化的容器化实践。

开发人员实施清单

• 定义声明式 JSON 模式：编写明确的资源策略，详细列出只读仓库路径、临时缓存目录和禁止访问的系统文件夹。
• 执行默认拒绝的出口过滤：配置网络容器化规则，默认阻止所有出站流量，仅对必要的外部 API 端点设置白名单。
• 集成 Typed MXC SDK：将 Rust、.NET 或 Node.js 原生包引入宿主应用，以编程方式管理容器生命周期。

import { spawn, type ContainerRequest } from '@microsoft/mxc-sdk/v1';

const request: ContainerRequest = {
  command: 'node -e "console.log(\'hello from container\')"',
  network: { egress: { default: 'deny' } },
  timeoutMs: 30_000,
};

const child = await spawn(request);

• 在 Windows 宿主机上利用学习模式：在支持的 Windows 进程容器上运行 Agent 测试套件，以捕获被拦截的访问请求，并生成最小权限策略工件。

安全与治理清单

• 审核现有容器化边界：根据暴露给本地 Agent 工作负载的数据和工具的敏感程度，实施相应的进程或会话容器。
• 为即将到来的身份控制做准备：围绕未来的 Microsoft Entra 能力规划认证架构，这些能力将能够区分自动化 Agent 操作与人类用户凭据。
• 评估集中化策略治理：跟踪 Microsoft Intune 管理策略的开发路线图，该计划旨在支持跨企业设备的 MXC 容器集中治理。

工程团队的关键收获

Microsoft Execution Containers 的推出标志着 AI 工程领域的重要转变，确立了自主 Agent 必须在受管理的各种安全边界内运行的行业准则。随着软件系统将文件修改、Shell 执行和 API 集成委托给生成式模型，继续依赖不受控的运行时环境会将基础设施暴露于严重的运营风险之中。

工程组织应在开发流水线中采用“容器化优先”的设计原则。通过实施策略驱动的沙盒环境、为未来的 Agent 身份治理做好准备，以及根据工作负载风险画像选择合适的容器化后端，软件架构师能够在发挥自主 AI 生产力的同时，在现代计算平台上保持稳健的防御边界。

参考资料

• 微软开发者博客 — 针对 AI Agent 的策略驱动容器化 — 官方公告，详细介绍了 MXC 架构、容器化后端及 Agent 身份路线图。

• Microsoft MXC GitHub 仓库 — 开源仓库，包含适用于 Rust、.NET 和 Node.js 的类型化 SDK 以及模式定义。

• Windows 体验博客 — Copilot+ PC 上的混合智能 — 概述了本地 AI 模型、系统级操作及对 Windows 执行容器的支持。