AI 基础设施
Windows 画出智能体边界：Execution Containers 正式可用
10 月 7 日，微软把一个预览版变成了平台级原语：Microsoft Execution Containers（MXC），一个策略驱动的隔离层，限定 AI 智能体可以访问什么，由 Windows 自身强制执行，且控制权在智能体之外。发布同时提出了更宏大的“混合智能”叙事——本地模型、云端路由与 Copilot 动作——但其中最重要的几个控制能力仍在路上。
Muse 辅助起草；事实与八语译文均由所有者审阅。这不是独立模型复审。 本文由 AI 辅助起草，未经独立人工审阅。事实引自微软官方公告与独立报道，每条均注明来源与局限；分析与观点已分别标注。
10 月 7 日发布了什么
2026 年 10 月 7 日，微软宣布 Microsoft Execution Containers（MXC）在 Windows 11 上正式可用。MXC 是一个面向不可信代码与动态生成负载的策略驱动执行层：在智能体场景中，它可以隔离模型生成的输出、插件、工具、智能体框架乃至整个智能体。开发者与 IT 管理员声明工作负载可以使用哪些文件与网络目标，Windows 在运行时强制执行这些限制。两篇公告于同日在 Windows 体验博客与 Windows 开发者博客发布。
集成阵容已经相当广泛。微软称 GitHub Copilot、OpenClaw、OpenAI Codex、Replit、LM Studio、NVIDIA OpenShell 与 Unsloth AI 已支持 MXC；Anthropic Claude Code、Box、Egnyte、Heidi Health、Nous Research 的 Hermes Agent、Manus、Perplexity、Raycast 与 Simular 将陆续加入。Meta 的 Muse for Windows 也计划以原生应用形式登陆 Windows 并集成 MXC。以上均为微软的集成状态声明，并非对每个客户端版本或默认配置的独立确认。
边界如何工作
核心原则是策略存在于智能体之外。开发者通过统一的 JSON 配置 schema 与多语言 SDK 描述工作负载所需资源——文件、网络目标——MXC 再把这些控制映射到各隔离后端。用微软的话说：“智能体不能做自己的安全权威。”智能体、它生成的代码、插件或工具在触及限制时无法为自己追加权限；边界由开发者或组织定义，由独立于智能体的机制强制执行。
隔离有五种形态。进程容器运行于 Windows 11、macOS 与 Linux，面向轻量负载。会话容器仅限 Windows：它在独立的、操作系统级隔离的会话中运行智能体，拥有独立的本地智能体身份，以及隔离的桌面、剪贴板、界面与输入边界。WSL 容器服务 Windows 11 上的 Linux 优先工具链；MicroVM 在 Windows 11 与 Linux 上提供硬件级隔离，但仍处实验阶段；Windows 365 for Agents 把这一模型延伸到云电脑。三种运行模式——强制、学习与宽松——分别决定未授权访问是被直接拦截、拦截并记录，还是放行并记录；只有 Windows 上的进程容器能生成智能体活动报告，用于制定最小权限策略。
哪些还在路上
正式可用覆盖的是隔离层，而非完整控制平面。微软表示，Windows 将很快通过 Microsoft Entra 在 Microsoft Agent 365 中区分智能体活动与用户活动，并把 Agent 365 的控制能力延伸到本地智能体，让 IT 团队可以管理 MXC 容器、应用策略、监控智能体活动。用于管理 Windows 11 上 MXC 进程容器的 Intune 策略也被描述为即将到来。这些身份与可管理性能力均未随此次 GA 一同发布。
更宏大的“混合智能”叙事同样分阶段推进。微软正在把 GitHub 的 HydraFusion 路由能力延伸到设备本地模型，计划于 10 月晚些时候在 GitHub Copilot 应用、命令行与 Visual Studio Code 中推出实验性预览。Copilot 的本地上下文、本地动作与本地模型预计在未来数月内登陆 Copilot+ PC——这些是计划，不是已交付的功能。一处脚注还加了现实提醒：需要安装 Windows 更新，且可用时间因设备、市场与芯片而异。
为什么重要
真正的变化在架构层面。智能体安全长期依赖应用权限与提示词层面的指令——而这些控制有时会被智能体自己“说服”绕过。MXC 把边界下沉到操作系统：隔离、身份与可管理性成为平台原语，在智能体行动之前强制执行，而不是事后审计。微软的规模数据说明了紧迫性：公司称 Copilot+ PC 每月已在本地执行超过 2 万亿次推理，商用在产笔记本中超过 40% 是 Copilot+ PC。这些是厂商自报数字，并非独立测量。
这次发布还拆开了团队常混为一谈的两个决策：模型在哪里运行，以及智能体被允许做什么。云端模型可以在本地隔离边界内申请执行工作；把模型搬到 PC 上本身并不会限制它能用的工具。而学习模式与宽松模式则是一种坦率的承认：智能体的最小权限策略无法一次性写对——必须从观察到的行为中逐步生长出来，让拒绝记录告诉你边界该调向何处。
值得观察什么
看最深的集成落在哪里。隔离模型横跨多个操作系统，但会话容器与智能体活动报告仅限 Windows。把智能体策略标准化在 MXC 最丰富功能上的企业，实际上也是在 Windows 上标准化——控制平面的决策与平台的决策合二为一。
由此得出两个判断。第一，对拥有广泛文件与网络权限的生产级智能体，操作系统级的强制边界应该是入场券：能改写自身权限的智能体，不该手握文件系统的钥匙。第二，没有归因的隔离只是半个控制平面——在基于 Entra 的智能体身份与 Intune 管理到来之前，安全团队能限定智能体触及什么，却无法完整回答“是哪个智能体干的”。这次 GA 是真正的里程碑；但让它可治理的部分，还在路上。
资料来源与延伸阅读
来源记录由所有者审阅；不声称已完成独立事实核验或独立模型复审。
- 微软 Windows 开发者博客：MXC 公告（官方）
Microsoft
Recorded publication date ·
Recorded verification time ·
- 微软 Windows 体验博客：混合智能（官方）
Microsoft
Recorded publication date ·
Recorded verification time ·
- Computer Weekly：Windows 为智能体 AI 调整（10 月 9 日）
Computer Weekly
Recorded publication date ·
Recorded verification time ·
- Subagentic：MXC 正式可用解读（10 月 8 日）
Subagentic
Recorded publication date ·
Recorded verification time ·
- UpgradeFeeling：Windows 混合智能分析（10 月 11 日）
UpgradeFeeling
Recorded publication date ·
Recorded verification time ·
- GenZ NewZ：Windows 11 上的智能体护栏（10 月 10 日）
GenZ NewZ
Recorded publication date ·
Recorded verification time ·