Microsoft Execution Containers (MXC) sollen KI-Agenten unter Windows in Laufzeitgrenzen halten: Die Prozessisolation beschränkt Datei- und Netzwerkzugriffe, die Sitzungsisolation trennt den Agenten von der interaktiven Windows-Umgebung. So kann die jeweilige Richtlinie festlegen, welche Ressourcen ein Agent nutzen darf.
Die technische Frage knüpft an die breitere Debatte um menschliche Aufsicht an. NeoTeo hat Satya Nadellas Forderung nach menschlicher Kontrolle über KI separat eingeordnet. MXC beschreibt konkretere Grenzen für Agenten unter Windows.
Prozess- oder Sitzungsisolation: Wo verläuft die Grenze?
Bei der Prozessisolation läuft der Agent in einem begrenzten lokalen Prozess. Entwickler können per Richtlinie festlegen, auf welche Dateien und Netzwerkdomänen der Prozess zugreifen darf. Microsoft nennt Programmieragenten als passenden Anwendungsfall, etwa wenn ein Agent erzeugten Code ausführen soll.
Die Sitzungsisolation setzt an einer anderen Stelle an: Sie trennt den Agenten von der interaktiven Sitzung des Nutzers. Dazu gehören Desktop, Zwischenablage, Benutzeroberfläche, Eingabegeräte und aktive Sitzungen. Microsoft zufolge kann eine solche Sitzung eine eigene lokale Identität oder eine über Microsoft Entra bereitgestellte Cloud-Identität nutzen. Das ermöglicht, Aktivitäten einer Identität zuzuordnen und sie über Entra und Microsoft Intune zu verwalten.
Für den Alltag heißt das: Prozessisolation begrenzt vor allem, worauf ein einzelner Arbeitsprozess zugreifen kann. Sitzungsisolation schafft eine separate Umgebung, wenn ein Agent länger laufen und mit eigenen Ressourcen arbeiten soll. Die erste von Microsoft beschriebene Ausbaustufe unterstützte nicht-interaktive Sitzungen.
Welche Regeln MXC kennt
Das MXC-Repository führt Richtlinien für Dateisystem, Netzwerk und Benutzeroberfläche auf. Dazu zählen Regeln, die Datei- und Netzwerkzugriffe erlauben oder verweigern, sowie Kontrollen für Zwischenablage, Anzeige und grafische Benutzeroberfläche.
MXC unterstützt laut Repository Windows 11 auf x64- und ARM64-Systemen. ProcessContainer ist dort als standardmäßiges Windows-Backend aufgeführt. Windows Sandbox, MicroVM und Hyperlight sind als experimentell markiert. Das gewählte Backend ist also Teil der technischen Konfiguration, nicht bloß eine andere Bezeichnung für dieselbe Isolationsgrenze.
Eine wichtige Falle betrifft den Audit-Modus: Er schaltet den Sandbox-Schutz für die untersuchte Arbeitslast aus. Eine Analyse in diesem Modus ist daher keine geschützte Ausführung.
Microsoft ordnete auch Defender in das Sicherheitskonzept ein und beschrieb Echtzeitschutz gegen Prompt-Injection und andere neue Bedrohungen durch Agenten. Eine eigene Agentenidentität kann Aktivitäten zuordnen; die Zugriffsgrenzen legt die jeweilige Laufzeit- und Systemrichtlinie fest.
Lokale Isolation oder Windows 365 for Agents?
Windows 365 for Agents verlagert die Ausführung in einen von Microsoft Intune verwalteten Cloud-PC, der vom Rechner des Nutzers getrennt ist. Microsoft beschrieb diesen Dienst in seinem Beitrag vom 2. Juni 2026 als allgemein verfügbar. Die beiden MXC-Ansätze dagegen setzen an lokalen Windows-Prozessen oder -Sitzungen an.
| Option | Ausführungsort | Abgegrenzte Ressourcen | Von Microsoft beschriebener Einsatz |
| MXC-Prozessisolation | Lokaler Windows-Prozess | Datei- und Netzwerkzugriffe nach Richtlinie | Begrenzte Codeausführung, etwa für Programmieragenten |
| MXC-Sitzungsisolation | Separate lokale Windows-Sitzung | Desktop, Zwischenablage, Benutzeroberfläche, Eingabegeräte und aktive Sitzungen | Agenten mit eigener Umgebung und separaten Ressourcen |
| Windows 365 for Agents | Von Intune verwalteter Cloud-PC | Vom Rechner des Nutzers getrennte Umgebung | Agenten, die außerhalb des lokalen Rechners laufen sollen |
Am 2. Juni 2026 stellte Microsoft MXC als Early Preview vor. Für Prozess- und Sitzungsisolation kündigte das Unternehmen eine frühe Vorschau kurz nach Build an; einige Fähigkeiten seien damals bereits in Windows-Insider-Builds verfügbar gewesen. Damit beschrieb Microsoft unterschiedliche Entwicklungs- und Bereitstellungswege: lokal begrenzte Ausführung mit MXC und eine getrennte Cloud-Umgebung mit Windows 365 for Agents.
