마이크로소프트 MXC로 AI 에이전트의 파일·네트워크 접근을 제한한다

마이크로소프트가 2026년 10월 7일 Microsoft Execution Containers (MXC)의 정식 제공을 발표했습니다. 개발자와 IT 관리자는 AI 에이전트가 수정하거나 읽을 수 있는 파일, 접속할 수 있는 네트워크 범위를 정해 작업에 필요한 권한만 부여할 수 있습니다.

저장소는 수정하고, 운영 서버 설정은 읽기만

MXC는 에이전트 개발자가 SDK를 연동해 사용하는 실행 계층으로, Windows의 모든 AI 앱에 자동 적용되는 기능은 아닙니다. 개발자가 통합 JSON 설정 스키마와 여러 언어를 지원하는 SDK로 필요한 자원을 선언하면, MXC가 운영체제별 컨테이너에 맞춰 정책을 적용합니다. 정책은 에이전트의 제어 밖에서 관리되므로 에이전트가 스스로 접근 권한을 늘릴 수 없습니다.

마이크로소프트가 든 웹사이트 수정 예시에서는 에이전트가 소스 저장소를 읽고 쓰며, 빌드와 테스트에 필요한 도구를 사용합니다. 반면 운영 서버 설정은 읽기만 허용합니다. 에이전트가 작업을 빨리 끝내려고 서버 설정을 수정하려 해도, 허용하지 않은 작업은 컨테이너가 막도록 설계됐습니다.

파일과 폴더에는 수정 가능·읽기 전용·접근 금지 권한을 나눠 지정하고, 네트워크의 수신·발신 연결과 호스트의 루프백 접속도 정책으로 정할 수 있습니다. 사용자의 데스크톱 접근을 제한하는 설정도 포함됩니다. 격리 대상은 생성된 코드나 플러그인·도구부터 에이전트 전체까지 선택할 수 있습니다.

세션과 WSL 컨테이너는 Windows 11 전용

프로세스 컨테이너는 Windows 11, macOS, Linux에서 사용할 수 있습니다. Windows 11은 AppContainer, macOS는 Seatbelt, Linux는 Bubblewrap을 사용합니다. Windows 365의 Cloud PC용 MXC 지원도 정식 제공됩니다.

세션 컨테이너와 WSL 컨테이너는 Windows 11에서만 쓸 수 있습니다. 세션 컨테이너는 별도 Windows 계정과 세션에서 에이전트를 실행해 데스크톱·클립보드·UI·입력을 사용자와 분리합니다. WSL 컨테이너는 Linux 개발 도구와 패키지가 필요한 작업에 Linux 실행 환경을 제공합니다.

하드웨어 기반 가상화 경계를 사용하는 MicroVM은 Windows 11과 Linux에서 실험 단계로 제공되며, macOS는 지원 대상이 아닙니다. 각 컨테이너의 보안 특성이 다르므로, 작업에 필요한 도구와 격리 수준에 맞는 방식을 평가해야 합니다.

Learning은 차단하고, Permissive는 허용합니다

Enforcement는 허용하지 않은 작업을 차단하지만 활동 보고서는 만들지 않습니다. Learning도 같은 접근을 차단하되 JSON 활동 보고서에 기록해, 정당한 작업에 어떤 권한이 부족했는지 살펴볼 수 있게 합니다. 활동 보고서는 Windows의 프로세스 컨테이너에서만 지원됩니다.

Permissive는 정책상 미허용 접근을 기록하되 실행을 막지는 않습니다. 작업을 계속 진행하면서 필요한 자원을 관찰하는 정책 작성용 모드이며, 운영체제나 조직이 별도로 적용한 제한은 그대로 유지됩니다. 관찰한 내용을 바탕으로 정책을 검토하고 테스트하며 필요한 권한을 다듬는 과정이 필요합니다.

마이크로소프트는 Windows 11의 MXC 프로세스 컨테이너를 관리할 Intune 정책을 추후 제공할 예정입니다. Microsoft Entra로 에이전트 활동과 사용자 활동을 구분하고, Microsoft Agent 365로 기기 내 에이전트를 관리하는 기능도 앞으로 제공될 예정입니다.