给要给员工开 Agent 权限的 IT 管理员，这几天有件事值得盯紧：微软已经把 Microsoft Execution Containers（MXC）推到了正式可用状态。智能体安全长期卡在一个两难里——放开权限赌它不出事，或者干脆禁用白丢效率。微软自己都承认，这两个选项都不可接受。现在操作系统层面给出了第三条路。
MXC 是什么：把智能体关进系统级沙箱
微软在官方博客里把话挑明了：智能体不能自己给自己当安全权威。让一个 AI 工具自己决定能碰什么，等于把保险柜钥匙交给实习生再叮嘱他自觉。MXC 的思路是把权限控制下沉到操作系统：开发者或者 IT 管理员提前声明这个智能体可以碰哪些资源——能读写哪些文件、能连哪些网络目的地——运行时 MXC 就用对应的容器把这些边界执行到位。策略本身放在智能体碰不到的地方，它想给自己偷偷提权都没门。
官方举的例子很直观：一个编码智能体被派去更新网站，它可以读写代码仓库、调用构建工具，也可以读生产服务器配置来搞明白部署结构，但就是不能改这份配置。没有边界的话，智能体很可能觉得直接改服务器配置最快，顺手就把生产站点搞挂了。从它的视角看这个操作甚至算合理——这才是最让人后背发凉的地方。
隔离级别上 MXC 给了四档可选：轻量的进程容器，覆盖 Windows 11、macOS 和 Linux，底层调用各家现成的沙箱机制，比如 Windows 的 AppContainer、macOS 的 Seatbelt、Linux 的 Bubblewrap；只在 Windows 11 上提供的会话容器，让智能体跑在独立的系统账户里，拥有自己隔离的桌面、剪贴板和输入边界，适合长跑型自动化任务；面向 Linux 生态工具链的 WSL 容器；还有仍在实验阶段、用硬件级虚拟化隔离的 MicroVM，留给高风险负载。开发者通过统一的 JSON 配置和多语言 SDK 接入，同一套策略从本地设备一路用到云端——Windows 365 对 MXC 的支持也同步转正，智能体可以直接在 Cloud PC 里跟人类员工并肩干活。
策略不好写也是实际痛点。微软给了三种模式过渡：Enforcement 直接强制执行；Learning 模式下越界操作照样拦，但会记进 JSON 活动报告，方便回放排查；Permissive 则先放行加记录，专门用来观察智能体实际需要哪些资源，等摸清楚了再收紧成最小权限策略。活动报告目前只在 Windows 的进程容器上提供。
接入门槛比想象中低。官方的表态很务实：你可以直接让手头常用的编码智能体帮你集成 MXC SDK、起草第一版工作负载策略，然后人工过一遍、测试、再微调。换句话说，修沙箱这件事本身就能交给沙箱外的智能体打下手，开发者要守住的只有最后一道审核。
和 Copilot Hybrid Intelligence 怎么配合
同一场 Windows 和 Surface 活动，微软把「Hybrid Intelligence」方案摆上了台面：本地模型干轻活，云端模型啃硬骨头。Copilot 获得的能力包括在用户许可下访问本地文件和最近使用记录，还能直接在电脑上动手——整理文件、跑诊断、改设置，几个月内先推给 Copilot+ PC 用户。
Copilot 负责人 Jacob Andreou 现场演示了 Autopilot 智能体干活：收到会计师来信后，他让智能体准备报税材料，智能体自己翻文件夹找到税务文档、重命名、打包成 zip，再起草一封带附件的回信，全程在本地完成，数据没出这台机器。
效率党看哭了，安全党头皮发麻——AI 能碰你文件了，碰错了算谁的？前两年 Windows Recall 因为「永远在截图」挨的骂还没过去多久，这回微软学乖了：整套能力默认 opt-in，敏感操作要用户点头，活动可审计。MXC 就是给这个场景兜底的：文件夹访问默认限制在文档、下载、桌面这类已知目录，智能体跑在独立账户下，系统再用 MXC 把边界焊死。这套能力覆盖 Home、Code 和 Autopilot 三个 Copilot 形态，其中 Code 里的代码执行已经走 MXC 沙箱。用微软的话说，安全不是独立开关，而是智能体体验本身的一部分。
企业为什么需要这个：智能体闯祸谁背锅
智能体帮忙写几行代码不可怕，可怕的是它接着往企业核心数据里伸手。实际落地时最怕的就是智能体乱动文件、乱连网络——出了事连是谁干的都查不清。Forrester 的分析师说得很直白：企业要的不是纯本地 AI，而是能智能分配本地与云端工作负载的 AI，前提是控制权抓在自己手里。
微软这回的答案分三层。第一层是遏制，也就是 MXC 本体；第二层是身份，微软 Entra 即将支持区分智能体活动和人类活动，真出问题时能精确到某个智能体头上去，不用一锅端把员工账号也锁了；第三层是可管理性，Agent 365 会把管控延伸到设备上的本地智能体，Intune 管理 MXC 进程容器的策略也在路上——不过这两块还没上线，具体节奏以官方为准。这套设计还有个妙处：企业安全策略可以叠加在开发者声明之上，同一个智能体进了不同公司，自动套不同边界，不用厂商把每家的安全姿态都写死进应用里。
生态跟进速度不算慢。GitHub Copilot、OpenAI Codex、Replit、LM Studio、OpenClaw、Unsloth AI 这些已经用上了 MXC；NVIDIA 还把自家的 OpenShell 集成进来，补上凭证管理、高级网络控制和企业级 OCSF 审计。Anthropic Claude Code、Box、Manus、Perplexity、Raycast 等一批在排队支持。当一大排智能体厂商跟着同一套遏制标准走，智能体安全的及格线整体往上抬——这才是对要规模化部署智能体的企业最实在的部分。
同期硬件：Surface RTX Spark Dev Box 开卖
软件讲完讲硬件。活动上微软同步宣布 Surface RTX Spark Dev Box 开售，定价 5,999 美元，AI 算力达到 1 PFLOP，定位就是给本地 AI 工作负载扛活的台式工作站，一同亮相的还有 Surface Laptop Ultra。信号挺明显：Hybrid Intelligence 要模型往本地跑，总得有机器跑得动。
不过也别急着加购物车。IDC 的分析师提醒，存量企业 PC 的换机周期以年计，设备形态高度混杂，未来几年大部分企业仍会以云端 AI 为主、按批次慢慢换本地算力设备。本地跑智能体是方向，但落地速度取决于钱包和换机表，而不是发布会 PPT。该机型的具体供货区域和上市细节，官方暂未公布完整信息。
网友评论
- 「终于不用在『放飞智能体』和『全体禁用』之间二选一了，Intune 策略一铺，IT 部门半夜告警能少一半。」
- 「Copilot 能动我本地文件这事我还是慎得慌，默认关掉，要用也只开单个文件夹。」
- 「MicroVM 还在实验阶段，高风险负载先等等吧，别当第一批小白鼠。」
- 「5999 美元的 Dev Box 是真硬，但老板看完只会问：现有电脑不是还能用吗？」
以上评论仅代表网友个人观点，不代表官方立场。
写在最后：智能体安全进入了系统层
从 Build 2026 上放出 SDK 预览，到十月初正式可用，微软用了大约四个月把智能体遏制从概念变成产品。配合 Entra 身份区分、Agent 365 管控这些还在路上的拼图，Windows 想讲的故事很完整：智能体可以放开用，但每一步都在系统的账本上。MXC 的 SDK、配置示例和文档已经放在 GitHub 仓库里，有意给员工配智能体的团队，现在就可以开始研究策略怎么写。至于身份和管理功能的具体上线时间，官方暂未给出明确节点，以官方后续公告为准。
