微软把智能体请进 Windows，安全三支柱只落地一根
10 月 7 日旧金山，微软把 Windows 和 Surface 的发布会开成了一场关于智能体的会。萨提亚·纳德拉在台上讲了一句不太好接的话，智能体会成为文件系统最大的用户，所以得把桌面做成运行智能体最安全的地方。
当天的主角不是新模型。Microsoft Execution Containers 在 Windows 11 上正式可用，简称 MXC。微软给它的定位是一套策略驱动的运行边界。开发者或管理员先声明一个智能体可以碰哪些文件、能连哪些网络地址、能调用哪些进程参数，Windows 在执行时强制这些边界生效。按微软的说法，智能体以及它临时生成的代码都没法给自己加权限。
这个设计针对的是眼下最实际的一类事故。代码智能体接到更新一个网站的任务，它可能发现改服务器配置是最近的路，就顺手去改。MXC 的做法是，配置里没允许它动服务器，系统就拦下来，不管模型、插件还是工具当时怎么打算。
发布会上的演示也在这个方向。Copilot 负责人雅各布·安德烈乌放了一段录播，让 Autopilot 处理报税材料。智能体翻文件夹、改名、打包，再起草一封带附件的邮件，等人确认，整个过程发生在本地。
门开了一半。
微软讲智能体安全有三根支柱，容器、身份、可管理性。这天落地的只有第一根。身份那部分还在路线图上，微软说 Windows 很快会让 Microsoft Entra 区分哪些动作是智能体做的、哪些是用户做的，某个智能体出事时可以单独吊销它的权限，不动员工本人。可管理性要靠 Agent 365 和 Intune，细节推到 11 月的 Ignite 大会。官方博客里还有一句脚注，说规模化的治理可能需要额外服务。
今天能用的，是一个把智能体关起来的盒子。盒子里装了谁、谁在看，还没接上。
MXC 本身分三种模式。强制模式实时拦截违规动作；学习模式只记录越权尝试、不打断运行，产出一份 JSON 报告，让开发者据此收敛权限；宽松模式留给开发早期。隔离强度按风险分档，低延迟任务用进程容器，中高风险走会话容器或轻量虚拟机。
微软列出的接入名单能说明它想拉多大的队伍。已经支持的有 OpenAI 的 Codex、GitHub Copilot、OpenClaw、Replit、LM Studio、英伟达的 OpenShell 和 Unsloth AI。还在接入的有 Anthropic 的 Claude Code、Box、Perplexity、Manus。Meta 的个人智能体 Muse 会作为原生 Windows 应用出现，同样带上 MXC。
模型一侧，微软把 MAI Code 1.1 Flash 搬到了设备上。这个编码模型总共 1370 亿参数，实际激活 68 亿，用 3 比特精度压到能本地跑。GitHub 的 HydraFusion 路由器订在 10 月下旬开实验预览，它判断一个任务该在本机模型上做还是发给云上。
门槛写在价格上。Surface Laptop Ultra 用英伟达的 RTX Spark 平台，最高 128GB 统一内存、1 petaflop 算力，能在本地跑 1200 亿参数以上的模型，起售价 2599 美元，10 月 16 日发货，128GB 那档标价 5899.99 美元。想在本地跑万亿参数，得看年内出货的 DGX Station for Windows，微软说它能同时服务 32 个以上智能体。
微软还给了两组自己的数字。超过四成的商用笔记本已经是 Copilot+ PC，这些机器每个月在本机跑超过 2 万亿次推理。
这两组数字放在一起，重点其实在别处。Copilot 在本地读文件、执行本地动作、调用本机模型这三项能力，官方口径是未来几个月陆续到。硬件和调用量已经在场，管住它们的三件套里，只有容器今天能用。
MXC 把权限的声明权交给了开发者和组织。这意味着边界画在哪里，取决于写策略的人对任务的理解。一个编码智能体该不该读服务器配置、能不能写测试环境，这类判断落到开发和 IT 手上。微软守的是声明过的边界不被突破，至于边界本身合不合理，它不负责。这两件事经常被混在一起谈，而后者才是企业最容易出事的地方。官方博客里那个例子可以对照，智能体被允许读写代码仓库、只能查看服务器配置，允许和禁止的分界线由人来定，微软提供的只是执行这条线的手段。
判断边界是否合理，眼下没有现成工具。学习模式能记录一次运行里智能体碰过什么，那是事后。
我把官方材料和当天几家媒体的报道对了一遍。有几处只有微软口径、没有第三方验证，比如每月 2 万亿次本地推理，微软没说样本怎么取。MXC 的隔离效果也还没有独立测试。
微软 2024 年因为 Recall 每隔几秒截图被批评，推迟了这个功能，2025 年改成用户自行开启才上线。这次的发布会没有提 Recall。它上一次因为系统主动读用户数据而被批评，结果是一个功能推迟一年。这次它把智能体的手接到文件系统上，对策是容器，是运行时的强制边界。纳德拉自己在台上也承认，没有信任就建不起生态。他说完这句，接下来要拿出的是身份和治理。那两样还没到。
来源
Microsoft Windows Experience Blog, Building Windows for hybrid intelligence（Pavan Davuluri，2026-10-07）
Microsoft Windows Platform + Developer Blog, MXC 说明（Logan Iyer，2026-10-07）
ITdaily, Microsoft transforms Windows into a home for AI agents（2026-10-07）
Technology Magazine, Microsoft Redefines PC Computing for Autonomous AI Agents（2026-10-08）
中关村在线, 微软推 MXC 智能体容器（2026-10-09）