一句话：agent 隔离从各家各做，走向 OS 内核层标准件
2026 年 10 月 8 日，微软宣布 Microsoft Execution Containers（MXC）正式通用可用，并同步带来 Windows 365 支持，距离 Build 大会上的预览约四个月。它的定位很直接：给 AI 智能体一个独立、可控的执行环境，让 agent 在受约束的范围内跑代码、调工具、完成任务，尽量少碰用户的敏感数据。把这件事说通俗一点，就是操作系统开始把「agent 该被关在哪」当成基础设施来提供。
机制拆解：单一策略 schema，多套隔离后端
MXC 的核心是一层「隔离运行环境 + 动态权限控制」的双层结构。上层用一份统一的 JSON 策略描述 agent 能碰哪些文件、网络、系统资源和应用；下层把这份策略落到多个隔离后端：Windows 上的 AppContainer、macOS 上的 Seatbelt、Linux 上的 Bubblewrap、Windows 11 会话容器、WSL 容器，以及仍处实验阶段的 MicroVM。agent 还能绑定本地 ID 或 Entra 云身份，便于追踪动作来源。对开发者，这意味着不必为每个平台重写一套沙箱，策略一次写好、多处生效。
生态位置：主流 agent 已经或宣布支持
更值得记的是采纳面。微软披露，GitHub Copilot、OpenAI Codex、OpenClaw、Replit、LM Studio、Unsloth 已经支持 MXC；NVIDIA 把 OpenShell Agent 框架接入其中；Anthropic 的 Claude Code、Perplexity、Manus 等也已宣布支持。Intune 策略管理与 Agent 365、Entra 的本地 agent 管控被列为即将到来。一个隔离标准如果被主流 agent 与芯片、云厂商共同采纳，它就不再是一家公司的功能，而有可能成为行业默认底座。
辩证看：GA 是里程碑，但一致性仍要时间
优势在于把 agent 安全从「各家各做沙箱」收敛成「OS 级标准件」，治理可控、跨平台可移植。局限也清楚：其一，MicroVM 仍是实验性，跨操作系统的隔离强度与体验一致性能否长期稳定，还需观察；其二，策略的质量决定了 agent 到底被关得多紧，弱策略等于没关；其三，生态采纳是渐进的，宣布支持与真正默认开启之间还有距离。关于定价与更细的区域可用信息，官方及行业暂未披露更多细节。
行业含义：agent 安全的竞争下沉到「能不能被关进笼子」
把 MXC 与今年的同类工作放在一起看更有意思：OpenClaw Enterprise 做的是控制平面，Cua Spaces 做的是桌面隔离，Rein Security 做的是旁路运行时护栏，而 MXC 把隔离直接做进操作系统内核层。四类路径指向同一判断——智能体的竞争焦点正从「模型多聪明」下沉到「能不能被可靠地限制住」。谁能把隔离做成默认且跨平台，谁就更可能成为 agent 规模上线的底层凭仗。
结语
MXC 通用可用，是操作系统把智能体隔离当成一等能力的信号。它的价值不在于又多了一个沙箱选项，而在于把 agent 执行约束推进到内核层、并提供统一策略。至于这套标准能否真的成为跨平台默认，还要看后续各厂商的默认开启节奏与独立安全评测。