微软 MXC:第一次把 AI Agent 的信任层放进操作系统——Windows 新沙箱机制的架构选择意味着什么AI Agent 的最大风险,不是它做不了有用的事,而是当它做错事时没有任何机制能拦住它。6 月 2 日,微软在 Build 2026 上宣布了 Microsoft Execution Containers(MXC)——一套内嵌在 Windows 操作系统内核层的 Agent 执行沙箱。这是一次架构选择:把 Agent 的信任边界从框架层下沉到操作系统层。传统应用程序和系统的交互点是固定的、已知的。AI Agent 则相反:它接收一个自然语言目标,然后自主决定如何完成,可能涉及文件操作、代码执行、API 调用、界面控制。每一个这样的动作都是攻击面。微软在 MXC 公告里用了一个直接的表述:"问题不只是 Agent 本身,而是 Agent 跨越的整个系统。" Agent 和人类、工具、应用、模型之间的每一次交互,都在引入新的失效模式。MXC 的设计逻辑因此很简单:在 Agent 运行之前声明它能做什么,然后让操作系统在运行时强制执行这些声明。开发者或 IT 管理员写一份策略,指定 Agent 允许访问的文件路径、网络资源和 API;MXC 根据这份策略创建一个执行容器,无论 Agent 之后尝试做什么,容器边界不会移动。MXC 提供一套 SDK 加策略模型,映射到三种隔离强度:轻量进程隔离、Linux 容器、以及完整的 micro-VM。GitHub Copilot CLI 已经采用了进程隔离版本;只需要读取当前项目目录的代码助手,进程隔离就够了;会下载并执行任意代码的自主 Agent 则需要 micro-VM。这个"可组合沙箱谱"的意思是隔离级别根据 Agent 的实际行为意图调整,而不是一刀切。会话隔离是另一个关键点。MXC 把 Agent 的执行环境和用户桌面、剪贴板、UI、输入设备彻底分开,直接对抗研究人员已经演示过的几类攻击:UI 欺骗(Agent 操纵用户看到的界面内容)、输入注入(Agent 向其他应用发送键盘鼠标事件)、跨会话数据泄漏。在发布前夜的媒体演示中,OpenClaw agent 在 MXC 沙箱里执行"删除桌面所有文件"——Agent 尝试了,但容器阻止了它。"你看到的桌面是干净的,那是假的,"演示者说,"容器不允许删除。"MXC 本身是一个 SDK,但它的企业价值来自 7 月预计上线的 Agent 365 集成。Entra 负责 Agent 身份管理——每个 Agent 获得一个本地 ID 或 Entra 云身份,所有操作归因到该身份;Intune 负责设备级策略推送;Defender 提供运行时威胁保护;Purview 把数据治理能力延伸到 Agent 活动。这套集成让 IT 部门第一次可以对 Agent 做和对传统应用一样的事:审计轨迹、访问控制、合规监测。对金融、医疗、政府等受监管行业来说,能在审计日志里把"人类操作"和"Agent 操作"区分开,正在从最佳实践逼近监管要求。Entra 的 Agent 身份模型也意味着一旦一个 Agent 被发现有恶意行为,可以直接通过身份层撤销它的所有权限,而不是在代码层修补。OpenAI(Codex)、NVIDIA(OpenShell)、中国 AI Agent 初创公司 Manus、Nous Research(Hermes agent)已经开始在 MXC 上构建。这个生态覆盖面暴露了微软的真实战略意图:不是为某类 Agent 提供专属平台,而是把 Windows 定位成所有 Agent 的通用信任层。苹果选择封闭生态——控制哪些 Agent 能运行,安全靠限制实现;Google 把信任放在云端,数据和评估都在服务端。微软走的是第三条路:任何 Agent 都可以运行,但 OS 通过声明加强制执行管控 Agent 的运行时边界,与具体的 Agent 框架、模型提供商无关。第三条路线如果成立,意味着 Windows 拿到了一个 iPhone App Store 之外的新型平台控制点:不审批哪些 Agent 能发布,但控制哪些 Agent 能在 Windows 上安全运行。微软花了两年时间让业界学会构建 Agent,现在押注的是下一个更大的工程问题:如何让操作系统来监管 Agent。