Що насправді роблять Microsoft Execution Containers для AI-агентів?

Чому агентам потрібен новий тип кордону

AI-агент не може бути власною владою безпеки. Модель або згенерований код вирішують, що вихід за передбачені межі — найшвидший шлях до виконання завдання. Плагін теж спонукає до цього. Агенту, якому сказано оновити веб-сайт, знадобиться прочитати конфігурацію продакшн-сервера для розуміння деплою. Потім він вирішить, що зміна цієї конфігурації завершить роботу швидше — і зламає працюючий сайт. Дія виглядає логічно для агента. Але вона перевищує повноваження, які розробник хотів надати. Кордон тримає.

Бекенди ізоляції та те, що вони відокремлюють

MXC пропонує спектр рівнів ізоляції, щоб розробники могли підібрати бекенд під навантаження. Тільки Windows підтримує сесійний контейнер. Він запускає агента в окремому сеансі, ізольованому на рівні ОС, з власною локальною ідентичністю агента. Окремі — ізольований робочий стіл, буфер обміну, UI. Введення також ізольоване. Процесний контейнер працює на Windows 11, а також на macOS і Linux, використовуючи відповідну пісочницю платформи. На Windows це AppContainer. На macOS — Seatbelt. На Linux — Bubblewrap. WSL-контейнер надає середовище виконання Linux через WSL на Windows 11. Бекенд MicroVM, експериментальний на Windows 11 і Linux, додає апаратну ізоляцію з повною сумісністю Linux-навантажень. У кожного бекенда — власні властивості безпеки. Навантаження слід оцінювати на відповідність обраному бекенду. Підтримка Windows 365 для MXC також загальнодоступна, дозволяючи запускати агентів на Cloud PC з тією ж моделлю ізоляції.

Як режими політик дозволяють тестувати перед примусовим застосуванням

Написати політику найменших привілеїв важко, коли ще не знаєш усі ресурси, що потрібні робочому навантаженню агента. MXC підтримує три режими роботи. Режим примусового застосування діє політику без звіту про активність — дозволені операції проходять, заборонені блокуються. Режим навчання продовжує тримати кордон, блокує заборонені операції і записує їх у JSON-звіт про активність. Розробники можуть відтворити відмови в обмеженні і побачити, до яких ресурсів навантаження намагалося отримати доступ. Режим дозволу дозволяє операціям продовжитися, записуючи доступ, який політика б заблокувала. Це корисно під час написання політики, бо навантаження завершується, а докази збираються. Тільки на Windows процесні контейнери MXC можуть видати звіт про активність агента. Він показує, до яких ресурсів робоче навантаження намагалося звернутися. Коли ви вперше запускаєте агента в контейнері MXC, політика може заблокувати можливості, що легітимно потрібні робочому навантаженню. Ці блокування показують, де кордон потребує корекції.

Ідентичність і шари управління, що йдуть далі

Ідентичність допомагає зрозуміти, який саме агент виконав дію. Windows незабаром дозволить Microsoft Entra відрізняти активність агента від активності користувача в Microsoft Agent 365. Це розділення дає змогу командам безпеки оцінювати поведінку та ризики агента окремо від людини, що використовує пристрій. Якщо агент скомпрометований або порушує політику, контролі безпеки націлюються на доступ агента, не блокуючи доступ працівника. Політика Intune незабаром стане доступною для керування процесними контейнерами MXC, що використовуються MXC-інтегрованими агентами на Windows 11. Ці політики дадуть IT-адміністраторам контроль над тим, як Windows оцінює запити на створення контейнерів. Також — які межі ресурсів ці контейнери примушують.

Хто вже використовує і де почати

NVIDIA інтегрувала OpenShell у MXC, додавши політичні контролі для доступу агента до файлів та сервісів інференсу. З'явилися розширені мережеві контролі, керування обліковими даними. Аудіт OCSF для 엔терпрайз теж додано. Провідні агенти та фреймворки вже підтримують MXC. GitHub Copilot і OpenClaw — підтримуються. OpenAI Codex і Replit — підтримуються. LM Studio і Unsloth AI — підтримуються. Багато інших випустять підтримку. Anthropic Claude Code і Box додадуть підтримку. Egnyte і Heidi Health додадуть підтримку. Hermes Agent від Nous Research і Manus додадуть підтримку. Perplexity і Raycast додадуть підтримку. Simular додасть підтримку. Для людей, що використовують AI щодня, ці захисні механізми стають частиною самого досвіду роботи з агентом. Сценарії GitHub Copilot і Codex, а також Replit, демонструють, як MXC підтримує вимогливий робочий процес розробника. Агент отримує доступ до репозиторію проекту та інструментів розробки. Команди, необхідні для завдання, теж доступні. Незв'язані файли чи мережеві пункти призначення — закриті. Почати можна сьогодні з MXC SDK та схеми конфігурації. Документація та приклади лежать у репозиторії MXC. Якщо виявите несподівану поведінку або маєте ідеї для покращення — відкрийте issue на GitHub.