Инфраструктура ИИ
Windows очерчивает границу агента: Execution Containers вышли в GA
7 октября Microsoft превратила превью в примитив платформы: Microsoft Execution Containers (MXC) — уровень на основе политик, ограничивающий доступ ИИ-агентов, применяемый самой Windows и находящийся вне контроля агента. Анонс сопровождается более широкой концепцией «гибридного интеллекта» — локальные модели, облачная маршрутизация и действия Copilot, — однако несколько важнейших элементов управления ещё в пути.
Текст подготовлен с помощью Muse; владелец проверил факты и все восемь переводов. Это не независимая проверка моделью. Статья подготовлена при помощи ИИ и не проходила независимую проверку человеком. Факты взяты из официальных анонсов Microsoft и независимых публикаций, каждый указан с ограничениями; анализ и мнение помечены отдельно.
Что вышло 7 октября
7 октября 2026 года Microsoft объявила о всеобщей доступности Microsoft Execution Containers (MXC) в Windows 11. MXC — это уровень исполнения на основе политик для недоверенного кода и динамически создаваемых нагрузок: в агентных сценариях он может изолировать вывод моделей, плагины, инструменты, каркас агента или всего агента целиком. Разработчики и ИТ-администраторы декларируют, к каким файлам и сетевым назначениям workload может обращаться, а Windows обеспечивает эти ограничения во время выполнения. Анонсы вышли в один день в блоге Windows Experience и в блоге разработчиков Windows.
Список интеграций уже широк. Microsoft называет GitHub Copilot, OpenClaw, OpenAI Codex, Replit, LM Studio, NVIDIA OpenShell и Unsloth AI поддерживающими MXC уже сегодня, а Anthropic Claude Code, Box, Egnyte, Heidi Health, Hermes Agent от Nous Research, Manus, Perplexity, Raycast и Simular — ожидаемыми. Muse для Windows от Meta также планируется как нативное приложение с интеграцией MXC. Это заявления Microsoft о статусе интеграций, а не независимые подтверждения каждой версии клиента или конфигурации по умолчанию.
Как работает граница
Ключевой принцип: политика живёт вне агента. Разработчики описывают, что нужно workload — файлы, сетевые назначения, — через унифицированную JSON-схему конфигурации и многоязычный SDK, а MXC отображает эти элементы управления на бэкенды изоляции. Как говорит Microsoft: «Агент не может быть собственным органом безопасности». Ни агент, ни его сгенерированный код, ни плагин или инструмент не могут выдать себе больше доступа, столкнувшись с ограничением; граница определяется разработчиком или организацией и применяется независимо от агента.
Изоляция бывает пяти видов. Контейнер процессов работает в Windows 11, macOS и Linux для лёгких нагрузок. Контейнер сеанса — только для Windows: он запускает агента в отдельном, изолированном на уровне ОС сеансе с собственной локальной идентичностью агента и изолированными границами рабочего стола, буфера обмена, интерфейса и ввода. WSL-контейнеры обслуживают Linux-инструментарии в Windows 11, MicroVM дают аппаратно подкреплённую изоляцию в Windows 11 и Linux, но остаются экспериментальными, а Windows 365 for Agents переносит модель на облачные ПК. Три режима работы — принудительный, обучающий и разрешительный — определяют, блокируется ли непредоставленный доступ сразу, блокируется и записывается, либо разрешается и записывается; только в Windows контейнеры процессов могут формировать отчёт об активности агента для выработки политик минимальных привилегий.
Что ещё впереди
Всеобщая доступность охватывает изоляцию, а не всю плоскость управления. Microsoft сообщает, что Windows вскоре задействует Microsoft Entra, чтобы различать активность агента и пользователя в Microsoft Agent 365, и распространит элементы управления Agent 365 на локальных агентов, чтобы ИТ-команды могли управлять контейнерами MXC, применять политики и отслеживать активность. Политика Intune для управления контейнерами процессов MXC также описывается как скорое нововведение. Ничего из этого не вышло вместе с анонсом GA.
Более широкая история «гибридного интеллекта» тоже развивается поэтапно. Microsoft расширяет маршрутизацию HydraFusion от GitHub на модели, работающие локально на устройстве, с экспериментальным превью в приложении GitHub Copilot, CLI и Visual Studio Code, запланированным на конец октября. Локальный контекст, локальные действия и локальные модели Copilot ожидаются на ПК Copilot+ в ближайшие месяцы — это планы, а не поставки. В сноске — практическая оговорка: требуется обновление Windows, а сроки доступности различаются в зависимости от устройства, рынка и кремния.
Почему это важно
Главный сдвиг — архитектурный. Безопасность агентов в основном жила в разрешениях приложений и инструкциях на уровне промптов — средствах контроля, которые сам агент порой может обойти словами. MXC переносит границу в операционную систему: изоляция, идентичность и управляемость становятся примитивами платформы, применяемыми до действия агента, а не проверяемыми после. Масштабные заявления Microsoft задают контекст срочности: компания утверждает, что на ПК Copilot+ локально выполняется уже более 2 триллионов инференсов в месяц, а свыше 40% выпускаемых для бизнеса ноутбуков — это ПК Copilot+. Это данные компании, а не независимые измерения.
Анонс также разделяет два решения, которые команды часто смешивают: где выполняется модель и что разрешено агенту. Облачная модель может запрашивать работу внутри локальной границы изоляции, а перенос модели на ПК сам по себе не ограничивает используемые ею инструменты. А обучающий и разрешительный режимы — тихое признание того, что политики минимальных привилегий для агентов нельзя написать правильно с первого раза: они должны вырастать из наблюдаемого поведения, а отказы покажут, где границу нужно подвинуть.
За чем следить
Следите, где приземлится самая глубокая интеграция. Модель изоляции охватывает несколько операционных систем, но контейнер сеанса и отчёт об активности агента — только для Windows. Предприятие, стандартизирующее политики агентов на самых богатых возможностях MXC, стандартизируется на Windows — решение о плоскости управления и решение о платформе сливаются в одно.
Отсюда два вывода. Во-первых, для продуктивных агентов с широким доступом к файлам и сети граница применения на уровне ОС должна быть базовым требованием: агент, способный переписывать собственные разрешения, не должен держать ключи от файловой системы. Во-вторых, изоляция без атрибуции — это половина плоскости управления: пока не появятся идентичность агентов на базе Entra и управление через Intune, команды безопасности могут ограничивать, к чему прикасаются агенты, но не могут полностью ответить, кто что сделал. GA — настоящая веха; но части, делающие её управляемой, ещё впереди.
Источники и дополнительные материалы
Владелец проверил записи источников; независимая проверка фактов или моделью не заявляется.
- Блог разработчиков Windows (Microsoft): анонс MXC (официальный)
Microsoft
Recorded publication date ·
Recorded verification time ·
- Блог Windows Experience (Microsoft): гибридный интеллект (официальный)
Microsoft
Recorded publication date ·
Recorded verification time ·
- Computer Weekly: доработки Windows под агентный ИИ (9 окт)
Computer Weekly
Recorded publication date ·
Recorded verification time ·
- Subagentic: разбор GA MXC (8 окт)
Subagentic
Recorded publication date ·
Recorded verification time ·
- UpgradeFeeling: анализ гибридного интеллекта Windows (11 окт)
UpgradeFeeling
Recorded publication date ·
Recorded verification time ·
- GenZ NewZ: ограждения для агентов в Windows 11 (10 окт)
GenZ NewZ
Recorded publication date ·
Recorded verification time ·