Microsoft MXC、AIエージェントが触れるファイルと接続先を制限

Microsoftは2026年10月7日、Microsoft Execution Containers（MXC）の一般提供を発表しました。開発者やIT管理者は、AIエージェントに編集させるファイル、読むだけにとどめるファイル、接続を許すネットワークの宛先を指定し、作業に必要な範囲へ権限を絞れます。

リポジトリは編集可、本番設定は読み取りだけ

MXCは、開発者がAIエージェントに組み込むポリシー駆動の実行レイヤーです。共通のJSON設定スキーマと複数言語のSDKで必要な資源を宣言すると、MXCが各OSに応じたコンテナーで制限を適用します。Windows上のAIアプリがすべて自動で隔離される機能ではありません。

Microsoftが挙げたWebサイト更新の例では、エージェントにリポジトリの読み書きと開発ツールの利用を許し、本番サーバーの設定は読み取り専用にします。エージェントが作業を早く終えるために本番設定を変更しようとしても、許可がなければ実行環境がその操作を阻止する設計です。

ポリシーはエージェントの制御外にあり、エージェントや生成コードが自分で権限を広げることはできません。生成コード、プラグイン、ツール、エージェント全体などを隔離の対象にでき、ファイルだけでなくネットワークの送受信や操作画面へのアクセスも制限できます。

Windowsだけで使える隔離方式もある

プロセスコンテナーはWindows 11、macOS、Linuxに対応し、それぞれAppContainer、Seatbelt、Bubblewrapを利用します。Windows 365でのMXCサポートも一般提供されており、Cloud PC上でもエージェントを隔離して動かせます。

セッションコンテナーと、WSLによるLinux実行環境を使うWSLコンテナーはWindows 11限定です。セッションコンテナーでは、エージェントを別のWindowsアカウントとセッションで動かし、デスクトップ、クリップボード、UI、入力をユーザー側と分離します。

ハードウェアによる仮想化を使うMicroVMは、Windows 11とLinuxで実験段階です。各方式の隔離特性は同じではないため、応答性や必要な隔離の強さを踏まえ、実際の用途に合うかを評価する必要があります。

Learningは拒否、Permissiveは通して記録

Enforcementは未許可の操作を拒否しますが、動作レポートは出しません。Learningも未許可の操作を拒否し、その試行をJSON形式の動作レポートに記録します。必要な作業まで止まった場合に、何へのアクセスが不足していたかを調べ、ポリシーを調整するために使えます。

一方、Permissiveはポリシーなら拒否されるアクセスを記録しつつ、実行を許可する観察用モードです。Learningと同じ保護ではなく、OSや組織による別の制限を無効にするものでもありません。こうした動作レポートを利用できるのは、Windowsのプロセスコンテナーだけです。

Windows 11のMXCプロセスコンテナー向けIntune管理ポリシーは、今後提供される予定です。Microsoft Entraで人とエージェントの活動を区別する仕組みや、Microsoft Agent 365による端末上のエージェント管理・監視機能も今後の提供予定で、今回の一般提供と同時にすべてそろったわけではありません。