KI-Infrastruktur
Windows zieht die Agenten-Grenze: Execution Containers sind GA
Am 7. Oktober hat Microsoft aus einer Vorschau ein Plattform-Primitiv gemacht: Microsoft Execution Containers (MXC), eine richtlinienbasierte Schicht, die begrenzt, worauf KI-Agenten zugreifen dürfen – durchgesetzt von Windows selbst und außerhalb der Kontrolle des Agenten. Die Ankündigung verbindet Isolation mit einer breiteren Vision „hybrider Intelligenz“ – lokale Modelle, Cloud-Routing und Copilot-Aktionen –, doch mehrere der wichtigsten Kontrollen sind noch unterwegs.
Entwurf mit Unterstützung von Muse; der Eigentümer hat die Fakten und alle acht Übersetzungen geprüft. Dies ist keine unabhängige Modellprüfung. Dieser Artikel wurde mit KI-Unterstützung erstellt und nicht unabhängig menschlich geprüft. Fakten stammen aus offiziellen Microsoft-Ankündigungen und unabhängiger Berichterstattung, jeweils mit ihren Einschränkungen zitiert; Analyse und Meinung sind als solche gekennzeichnet.
Was am 7. Oktober ausgeliefert wurde
Am 7. Oktober 2026 hat Microsoft angekündigt, dass Microsoft Execution Containers (MXC) unter Windows 11 allgemein verfügbar sind. MXC ist eine richtlinienbasierte Ausführungsschicht für nicht vertrauenswürdigen Code und dynamisch erzeugte Workloads: In Agenten-Szenarien kann sie modellgenerierte Ausgaben, Plug-ins, Tools, das Agenten-Framework oder den gesamten Agenten isolieren. Entwickler und IT-Administratoren deklarieren, auf welche Dateien und Netzwerkziele ein Workload zugreifen darf, und Windows setzt diese Grenzen zur Laufzeit durch. Die Ankündigungen erschienen am selben Tag im Windows-Erlebnisblog und im Windows-Entwicklerblog.
Die Integrationsliste ist bereits breit. Microsoft nennt GitHub Copilot, OpenClaw, OpenAI Codex, Replit, LM Studio, NVIDIA OpenShell und Unsloth AI als bereits MXC-kompatibel; Anthropic Claude Code, Box, Egnyte, Heidi Health, Hermes Agent von Nous Research, Manus, Perplexity, Raycast und Simular sollen folgen. Auch Metas Muse für Windows ist als native App mit MXC-Integration geplant. Dies sind Microsofts Angaben zum Integrationsstatus, keine unabhängigen Bestätigungen jeder Client-Version oder Standardkonfiguration.
Wie die Grenze funktioniert
Das Kernprinzip: Die Richtlinie lebt außerhalb des Agenten. Entwickler beschreiben, was ein Workload braucht – Dateien, Netzwerkziele – über ein einheitliches JSON-Konfigurationsschema und ein mehrsprachiges SDK, und MXC bildet diese Kontrollen auf Isolations-Backends ab. Wie Microsoft es formuliert: „Ein Agent kann nicht seine eigene Sicherheitsautorität sein.“ Weder der Agent noch sein generierter Code, ein Plug-in oder ein Tool können sich bei einer Beschränkung selbst mehr Zugriff verschaffen; die Grenze wird vom Entwickler oder der Organisation definiert und unabhängig vom Agenten durchgesetzt.
Isolation gibt es in fünf Varianten. Der Prozess-Container läuft unter Windows 11, macOS und Linux für leichte Workloads. Der Sitzungs-Container ist Windows-exklusiv: Er führt den Agenten in einer separaten, auf Betriebssystemebene isolierten Sitzung mit eigener lokaler Agenten-Identität und isolierten Desktop-, Zwischenablage-, UI- und Eingabegrenzen aus. WSL-Container bedienen Linux-lastige Toolchains unter Windows 11, MicroVMs bieten hardwaregestützte Isolation unter Windows 11 und Linux, bleiben aber experimentell, und Windows 365 for Agents erweitert das Modell auf Cloud-PCs. Drei Betriebsmodi – Erzwingung, Lernen und Permissiv – entscheiden, ob nicht gewährter Zugriff strikt blockiert, blockiert und protokolliert oder erlaubt und protokolliert wird; nur unter Windows können Prozess-Container einen Aktivitätsbericht des Agenten erzeugen, um Least-Privilege-Richtlinien zu entwerfen.
Was noch kommt
Die allgemeine Verfügbarkeit deckt die Isolation ab, nicht die gesamte Steuerebene. Microsoft zufolge wird Windows künftig Microsoft Entra nutzen, um in Microsoft Agent 365 Agentenaktivität von Benutzeraktivität zu unterscheiden, und Agent-365-Kontrollen auf lokale Agenten ausweiten, damit IT-Teams MXC-Container verwalten, Richtlinien anwenden und Aktivitäten überwachen können. Auch eine Intune-Richtlinie zur Verwaltung von MXC-Prozesscontainern wird als bevorstehend beschrieben. Nichts davon wurde mit der GA-Ankündigung ausgeliefert.
Auch die breitere Geschichte der „hybriden Intelligenz“ wird gestaffelt erzählt. Microsoft erweitert GitHubs HydraFusion-Routing auf lokal auf dem Gerät laufende Modelle; eine experimentelle Vorschau in der GitHub-Copilot-App, der CLI und Visual Studio Code ist für Ende Oktober geplant. Copilots lokaler Kontext, lokale Aktionen und lokale Modelle sollen in den kommenden Monaten auf Copilot+-PCs ausgerollt werden – Pläne, keine Lieferungen. Eine Fußnote fügt einen praktischen Vorbehalt hinzu: Ein Windows-Update ist erforderlich, und der Verfügbarkeitszeitpunkt variiert je nach Gerät, Markt und Chip.
Warum das wichtig ist
Die wichtige Verschiebung ist architektonisch. Agentensicherheit lebte bisher vor allem in Anwendungsberechtigungen und Anweisungen auf Prompt-Ebene – Kontrollen, die der Agent selbst mitunter umreden kann. MXC verlagert die Grenze ins Betriebssystem: Isolation, Identität und Verwaltbarkeit werden zu Plattform-Primitiven, die vor der Aktion des Agenten greifen statt danach auditiert zu werden. Microsofts Skalenzahlen rahmen die Dringlichkeit: Das Unternehmen gibt an, dass monatlich bereits mehr als 2 Billionen Inferenzen lokal auf Copilot+-PCs laufen und mehr als 40 Prozent der für Unternehmen gebauten Laptops Copilot+-PCs sind. Das sind Unternehmensangaben, keine unabhängigen Messungen.
Die Ankündigung trennt außerdem zwei Entscheidungen, die Teams oft vermengen: wo das Modell läuft und was der Agent tun darf. Ein Cloud-Modell kann Arbeit innerhalb einer lokalen Isolationsgrenze anfordern; ein Modell auf den PC zu verlagern, beschränkt für sich genommen nicht die Tools, die es nutzt. Und die Modi Lernen und Permissiv sind ein leises Eingeständnis: Least-Privilege-Richtlinien für Agenten lassen sich nicht auf Anhieb korrekt schreiben – sie müssen aus beobachtetem Verhalten wachsen, wobei Ablehnungen zeigen, wo die Grenze nachjustiert werden muss.
Worauf zu achten ist
Achten Sie darauf, wo die tiefste Integration landet. Das Isolationsmodell spannt sich über Betriebssysteme, doch Sitzungs-Container und Aktivitätsbericht des Agenten sind Windows-exklusiv. Ein Unternehmen, das seine Agentenrichtlinien auf den reichhaltigsten MXC-Funktionen standardisiert, standardisiert auf Windows – die Steuerebenen-Entscheidung und die Plattform-Entscheidung werden eins.
Daraus folgen zwei Einschätzungen. Erstens: Für Produktionsagenten mit breitem Datei- und Netzwerkzugriff sollte eine Durchsetzungsgrenze auf Betriebssystemebene selbstverständlich sein; Agenten, die ihre eigenen Berechtigungen umschreiben können, sollten nicht die Schlüssel zum Dateisystem halten. Zweitens: Isolation ohne Attribution ist eine halbe Steuerebene – bis die Entra-basierte Agentenidentität und das Intune-Management eintreffen, können Sicherheitsteams begrenzen, was Agenten berühren, aber nicht vollständig beantworten, welcher Agent was getan hat. Die GA ist ein echter Meilenstein; die Teile, die sie regierbar machen, sind noch unterwegs.
Quellen und weitere Lektüre
Der Eigentümer hat die Quellenangaben geprüft; eine unabhängige Fakten- oder Modellprüfung wird nicht behauptet.
- Microsoft Windows-Entwicklerblog: MXC-Ankündigung (offiziell)
Microsoft
Recorded publication date ·
Recorded verification time ·
- Microsoft Windows-Erlebnisblog: hybride Intelligenz (offiziell)
Microsoft
Recorded publication date ·
Recorded verification time ·
- Computer Weekly: Windows-Anpassungen für agentische KI (9. Okt)
Computer Weekly
Recorded publication date ·
Recorded verification time ·
- Subagentic: Einordnung der MXC-GA (8. Okt)
Subagentic
Recorded publication date ·
Recorded verification time ·
- UpgradeFeeling: Analyse der hybriden Windows-Intelligenz (11. Okt)
UpgradeFeeling
Recorded publication date ·
Recorded verification time ·
- GenZ NewZ: Leitplanken für Agenten unter Windows 11 (10. Okt)
GenZ NewZ
Recorded publication date ·
Recorded verification time ·