ARTICLE · 1145948
微软宣布面向AI Agent的执行隔离工具 Microsoft Execution
微软宣布面向AI Agent的执行隔离工具 Microsoft Execution核心事件 北京时间10月8日，微软宣布面向AI Agent的执行隔离工具 Microsoft Execution Containers（MXC） 正式在Windows 11上开放。该工具允许开发者和企业通过隔离执行环境，限制Agent对文件、网络、邮件等系统资源的访问权限，并为Agent分配独立身份，将其纳入企业管理体系（如Microsoft Agent 365、Intune）。 首批支持与合作 为什么需要MXC？ MXC如何工作？ 行业竞争与未来挑战 总结 微软推出MXC，是试图将操作系统的传统优势（资源管理、身份、权限）延伸到AI Agent时代，通过为Agent“立规矩”来应对日益复杂的安全挑战。这不仅是技术层面的隔离工具，更是微软在AI平台竞争中争夺控制权和标准制定权的重要一步。然而，Agent安全无法仅靠单一机制解决，未来仍需模型层、应用层与操作系统层的协同，且跨平台、跨厂商的权限管理框架仍有待探索。
已支持：OpenAI Codex、GitHub Copilot、OpenClaw、英伟达OpenShell等。 计划接入：Claude Code、Manus、Perplexity等；Meta Muse将推出集成MXC的Windows原生应用。 战略意义：微软试图将Windows打造为Agent的运行与管理平台，通过提供底层安全执行环境，吸引模型公司和开发者，巩固操作系统在AI时代的重要性。
Agent权限的复杂性：与传统应用不同，Agent接收的是需要自行规划的目标（如“准备客户会议”），可能涉及邮箱、云端文档、本地文件、日历等多个数据源和操作，权限需求动态变化。 传统沙箱的不足：传统沙箱并非为Agent设计，无法随提示词输入和工具调用动态调整隔离边界。 模型层安全的局限： 提示词注入风险：攻击者可通过网页、邮件等不可信内容植入恶意指令，诱导Agent读取私人数据并外传（即“致命三要素”：访问私人数据+接触不可信内容+向外部发送信息）。 用户确认疲劳：如Anthropic发现Claude Code用户约批准93%的权限请求，频繁弹窗导致用户不再认真检查授权。 模型可能绕过隔离：即使有安全训练，模型也可能误解指令或找到未预料的路径绕过限制。
隔离级别：支持进程隔离、独立会话、WSL容器、虚拟机以及Windows 365云端执行环境，企业可定义Agent能访问的文件和网络范围。 最小权限原则：遵循计算机安全的最小权限原则，但针对Agent的自主规划特性，通过操作系统层强制执行资源访问规则，而非依赖模型自我约束。 身份与管理：为Agent分配独立身份，区分其与真人用户操作，便于审计和管控。
混合智能方向：微软提出Agent可根据任务在本地模型与云端模型间选择（Copilot+ PC每月已执行超2万亿次本地推理），Windows同时承担执行环境和本地AI计算平台。 多方博弈：苹果、Google也在争夺Agent时代的系统入口，通过端侧隐私、浏览器和云端AI生态构建竞争壁垒。 开放性问题：权限应授予Agent还是单次任务？读取与执行敏感操作是否需不同授权？多Agent协作时权限能否传递？这些尚无统一方案。 潜在风险：若限制过多，开发者可能转向浏览器、云电脑等其他执行方式；且越来越多Agent可直接运行在云端，无需操作用户本地电脑。