Infraestrutura de IA
Windows desenha a fronteira do agente: Execution Containers chega à GA
Em 7 de outubro, a Microsoft transformou uma prévia em primitiva de plataforma: o Microsoft Execution Containers (MXC), uma camada baseada em políticas que limita o que os agentes de IA podem acessar, aplicada pelo próprio Windows e fora do controle do agente. O anúncio acompanha uma visão mais ampla de “inteligência híbrida” —modelos locais, roteamento em nuvem e ações do Copilot—, mas vários dos controles mais importantes ainda estão a caminho.
Redação assistida por Muse; o proprietário revisou os fatos e as oito traduções. Não se trata de revisão independente por um modelo. Este artigo foi redigido com assistência de IA e não passou por revisão humana independente. Os fatos vêm de anúncios oficiais da Microsoft e de cobertura independente, citados com suas limitações; análise e opinião estão identificadas como tal.
O que foi lançado em 7 de outubro
Em 7 de outubro de 2026, a Microsoft anunciou que o Microsoft Execution Containers (MXC) atingiu a disponibilidade geral no Windows 11. O MXC é uma camada de execução baseada em políticas para código não confiável e cargas de trabalho geradas dinamicamente: em cenários de agentes, pode isolar saídas geradas por modelos, plug-ins, ferramentas, o harness do agente ou o agente inteiro. Desenvolvedores e administradores de TI declaram quais arquivos e destinos de rede uma carga de trabalho pode usar, e o Windows aplica esses limites em tempo de execução. Os anúncios foram publicados no mesmo dia no blog de experiência Windows e no blog de desenvolvedores Windows.
A lista de integrações já é ampla. A Microsoft cita GitHub Copilot, OpenClaw, OpenAI Codex, Replit, LM Studio, NVIDIA OpenShell e Unsloth AI como compatíveis com o MXC hoje, e espera que Anthropic Claude Code, Box, Egnyte, Heidi Health, Hermes Agent da Nous Research, Manus, Perplexity, Raycast e Simular se juntem. O Muse para Windows, da Meta, também está previsto como aplicativo nativo com integração ao MXC. São declarações de status de integração da Microsoft, não confirmações independentes de cada versão de cliente ou configuração padrão.
Como funciona a fronteira
O princípio central é que a política vive fora do agente. Os desenvolvedores descrevem o que uma carga de trabalho precisa —arquivos, destinos de rede— por meio de um esquema de configuração JSON unificado e um SDK multilinguagem, e o MXC mapeia esses controles para os backends de isolamento. Como diz a Microsoft: “Um agente não pode ser sua própria autoridade de segurança.” Nem o agente, nem seu código gerado, nem um plug-in ou ferramenta podem conceder a si mesmos mais acesso ao esbarrar numa restrição; a fronteira é definida pelo desenvolvedor ou pela organização e aplicada de forma independente do agente.
O isolamento tem cinco sabores. O contêiner de processos roda no Windows 11, macOS e Linux para cargas leves. O contêiner de sessão é exclusivo do Windows: executa o agente numa sessão separada, isolada pelo sistema operacional, com sua própria identidade local de agente e limites isolados de área de trabalho, área de transferência, interface e entrada. Contêineres WSL atendem toolchains Linux no Windows 11, MicroVMs oferecem isolamento com suporte de hardware no Windows 11 e Linux, mas seguem experimentais, e o Windows 365 for Agents estende o modelo aos Cloud PCs. Três modos de operação —Aplicação, Aprendizado e Permissivo— decidem se o acesso não concedido é bloqueado de imediato, bloqueado e registrado, ou permitido e registrado; só no Windows os contêineres de processos podem produzir um relatório de atividade do agente para desenhar políticas de privilégio mínimo.
O que ainda está por vir
A disponibilidade geral cobre o isolamento, não o plano de controle completo. A Microsoft diz que o Windows em breve usará o Microsoft Entra para distinguir a atividade do agente da atividade do usuário no Microsoft Agent 365, e estenderá os controles do Agent 365 aos agentes locais para que as equipes de TI possam gerenciar contêineres MXC, aplicar políticas e monitorar a atividade. A política do Intune para gerenciar contêineres de processos MXC também é descrita como próxima. Nada disso foi lançado com o anúncio de GA.
A história mais ampla da “inteligência híbrida” também avança em etapas. A Microsoft está estendendo o roteamento HydraFusion do GitHub para modelos executados localmente no dispositivo, com uma prévia experimental no aplicativo GitHub Copilot, na CLI e no Visual Studio Code prevista para o fim de outubro. O contexto local, as ações locais e os modelos locais do Copilot devem chegar aos PCs Copilot+ nos próximos meses: são planos, não entregas. Uma nota de rodapé acrescenta um aviso prático: é necessária uma atualização do Windows, e o calendário de disponibilidade varia conforme dispositivo, mercado e silício.
Por que importa
A mudança importante é arquitetural. A segurança dos agentes viveu sobretudo em permissões de aplicativo e instruções em nível de prompt —controles que o próprio agente às vezes consegue contornar com palavras. O MXC desloca a fronteira para o sistema operacional: isolamento, identidade e gerenciabilidade viram primitivas de plataforma, aplicadas antes de o agente agir em vez de auditadas depois. Os números de escala da Microsoft enquadram a urgência: a empresa diz que mais de 2 trilhões de inferências já rodam localmente por mês nos PCs Copilot+, e que mais de 40% dos laptops fabricados para empresas são PCs Copilot+. São números reportados pela empresa, não medições independentes.
O anúncio também separa duas decisões que as equipes costumam confundir: onde o modelo roda e o que o agente pode fazer. Um modelo na nuvem pode solicitar trabalho dentro de uma fronteira de isolamento local; mover um modelo para o PC não restringe por si só as ferramentas que ele usa. E os modos Aprendizado e Permissivo são uma admissão discreta de que políticas de privilégio mínimo para agentes não podem ser escritas corretamente de primeira: elas precisam crescer a partir do comportamento observado, com as negações revelando onde ajustar a fronteira.
O que observar
Observem onde pousa a integração mais profunda. O modelo de isolamento abrange vários sistemas operacionais, mas o contêiner de sessão e o relatório de atividade do agente são exclusivos do Windows. Uma empresa que padroniza suas políticas de agentes nos recursos mais ricos do MXC está se padronizando no Windows: a decisão do plano de controle e a decisão de plataforma se tornam uma só.
Daí decorrem dois julgamentos. Primeiro, para agentes de produção com amplo alcance sobre arquivos e redes, uma fronteira de aplicação em nível de sistema operacional deveria ser o mínimo exigível; agentes que podem reescrever suas próprias permissões não deveriam ter as chaves do sistema de arquivos. Segundo, isolamento sem atribuição é meio plano de controle: até chegarem a identidade de agente baseada em Entra e o gerenciamento do Intune, as equipes de segurança podem limitar o que os agentes tocam, mas não podem responder por completo quem fez o quê. A GA é um marco real; as peças que a tornam governável ainda estão a caminho.
Fontes e leituras
O proprietário revisou os registros de fontes; não se afirma verificação independente dos fatos nem revisão independente por um modelo.
- Blog de desenvolvedores Windows da Microsoft: anúncio do MXC (oficial)
Microsoft
Recorded publication date ·
Recorded verification time ·
- Blog de experiência Windows da Microsoft: inteligência híbrida (oficial)
Microsoft
Recorded publication date ·
Recorded verification time ·
- Computer Weekly: ajustes do Windows para IA agêntica (9 out)
Computer Weekly
Recorded publication date ·
Recorded verification time ·
- Subagentic: análise da GA do MXC (8 out)
Subagentic
Recorded publication date ·
Recorded verification time ·
- UpgradeFeeling: análise da inteligência híbrida do Windows (11 out)
UpgradeFeeling
Recorded publication date ·
Recorded verification time ·
- GenZ NewZ: guardrails para agentes no Windows 11 (10 out)
GenZ NewZ
Recorded publication date ·
Recorded verification time ·