Microsoft выпустила MXC — песочницу, которая ограничивает ИИ-агентов

Microsoft выпустила финальную версию MXC (Microsoft Execution Containers) — системы, которая запускает ИИ-агентов в изоляции и пускает их только к заранее разрешённым файлам и адресам в сети.

Почему это важно: агент получает не все права человека, вошедшего в систему, а только те, что нужны для задачи. Ограничения задаёт разработчик или ИТ-отдел, следит за их соблюдением операционная система, и сам агент снять их не может.

Предыстория: Microsoft показала MXC в июне на конференции Build в ранней предварительной версии. Тогда в ней было два вида изоляции — для отдельного процесса и для отдельной сессии, а виртуальные машины и Linux-контейнеры значились в планах.

Детали: Microsoft объясняет задумку на примере агента, которому поручили обновить сайт. Ему нужны чтение и запись в репозитории с кодом и инструменты для сборки, а настройки рабочего сервера — только для чтения. Без ограничений агент может решить, что проще всего переписать эти настройки, и сломать сайт. В MXC такая попытка блокируется, что бы ни решила модель, плагин или написанный ею код.

Как это работает: разработчик описывает в файле настроек, какие папки и адреса нужны агенту, а MXC подбирает контейнер под систему и задачу:

• Процессная песочница¹ — самый лёгкий вариант для кода, который пишет модель, и вызова инструментов; она работает в Windows, macOS и Linux.
• Сессионный контейнер есть только в Windows 11: агент работает под отдельной учётной записью, со своим рабочим столом, буфером обмена и вводом.
• WSL-контейнер, тоже только для Windows 11, нужен агентам, которые опираются на программы Linux через встроенную в Windows подсистему WSL.
• Облегчённая виртуальная машина (MicroVM) изолирует агента на уровне оборудования для самых рискованных задач, но пока это экспериментальный вариант для Windows 11 и Linux.

Настройка правил: только в Windows MXC помогает составить сами правила. В разрешающем режиме агент выполняет задачу целиком, а система записывает в отчёт каждое обращение, которое правила запретили бы. В режиме обучения такие обращения блокируются и тоже попадают в отчёт.

Расклад: по данным Microsoft, систему подключают разработчики агентов:

• GitHub Copilot, OpenAI Codex, Replit, OpenClaw, LM Studio и Unsloth уже работают с MXC.
• Поддержку готовят Claude Code от Anthropic, Perplexity, Manus, Raycast, Hermes Agent от Nous Research и другие.
• NVIDIA встроила в MXC свою систему OpenShell, которая добавляет контроль сети, хранение учётных данных и журнал аудита для компаний.

Но: если правила компании закрывают агенту нужный ресурс, задача может не выполниться. Microsoft просит разработчиков, чтобы агент в таком случае объяснял, чего ему не хватает, или искал безопасный обходной путь, а не ломался молча.

Что дальше: ИТ-отделы смогут настраивать через Microsoft Intune² процессные песочницы MXC на Windows 11, а Microsoft Entra³ начнёт отличать действия агента от действий человека. Если агента взломают или он нарушит правила, доступ отключат ему, а не сотруднику, а в Microsoft Agent 365⁴ администраторы увидят, какой агент что сделал. Дат Microsoft не назвала.

Поддержка облачных компьютеров Windows 365 тоже вышла из предварительной версии. SDK, схема настроек и примеры лежат в открытом репозитории Microsoft на GitHub.