微软给智能体画了个圈，并在旁边注明：这个圈先别当真

2026-10-09 · 人工智能

十月七号、八号，微软在旧金山办了两年来第一场线下发布会。台上三个人：管 Windows 与设备的 Pavan Davuluri、纳德拉、黄仁勋。

纳德拉发帖说，很荣幸跟英伟达一起开启 Windows 的下一章。黄仁勋把 RTX Spark 那颗芯片叫"新 PC——个人 AI 电脑"。

头条是那两个价格

新机器两台。

Surface Laptop Ultra，$2,599 起，十月十六号出货；Surface RTX Spark Dev Box，$5,999，十一月出货，只在美国预售。拿 MacBook Pro 来以旧换新，最高抵 $1,000，活动到十一月二十三号。

里头是英伟达的 RTX Spark：一颗 Blackwell RTX GPU（最高 6,144 个 CUDA 核心）加一颗 20 核 Grace CPU 封在一起，最高 128GB 统一内存。官方说 FP4 稀疏下最高 1 petaflop；本地能跑超过 1200 亿参数的模型，最高 100 万 token 上下文。微软说本地响应速度是 MacBook Pro M5 的两倍，生成视频快六倍。

他们还顺手把 Windows 11 里的 Copilot 改成三个标签页：Home、Code、Autopilot；搜索栏以后能直接执行你用自然语言描述的"系统动作"。

这些东西都挺好，也都挺贵。但我真正想说的是同一批公告里的另一份文件。

一句话

十月七号，Windows 平台与开发者部门的 CVP Logan Iyer 在开发者博客上宣布：Microsoft Execution Containers（MXC）正式可用。

那份公告里有一句话，我建议每个打算把智能体放进公司内网的人都抄一遍：

智能体不能充当自己的安全权威。

后面跟了个例子，写得比大多数安全文档都清楚。假设一个编码智能体被派去更新网站。它需要读写代码仓库，需要读生产服务器的配置——但它不该改那份配置。官方原话是：没有受管边界的话，这个智能体可能自己判断"直接改服务器配置是把活干完最快的路子"。而且——这句是关键——从它自己的角度看，这个判断是合理的。

MXC 要做的事就一件：不管模型、它生成的代码、插件还是工具怎么想，那个写操作都做不了。

我喜欢这个例子，因为它说的不是"模型会不会使坏"，而是"它替你干活的时候，会不会顺手做一个你没授权的决定"。这两件事的解法完全不同。

四种墙，一份 JSON

技术形态不复杂。策略用一份 JSON 描述五块：容器类型、进程、文件系统、网络、界面——哪些路径能改、哪些只能读、哪些碰都别碰，能不能出网，能不能看桌面。

容器四种：

• 进程容器（Windows 11 / macOS / Linux）：轻量，用来跑模型生成的代码和工具调用，用的是各平台自带的沙箱（Windows 上是 AppContainer，macOS 是 Seatbelt，Linux 是 Bubblewrap）。
• 会话容器（仅 Windows 11）：跑在另一个 Windows 账户和独立会话里，桌面、剪贴板、界面、输入都跟你隔开。你在复制什么，它看不见。
• WSL 容器（仅 Windows 11）：给那些非得用 Linux 工具链的活的。
• MicroVM（Windows 11 与 Linux，实验性）：硬件级隔离，给风险更高的活。

还有个细节我很喜欢：只有 Windows 上的进程容器能生成一份智能体活动报告，列出这个活"试图用过哪些资源"。配上三种运行模式（Enforcement、Learning、Permissive），意思是你可以先让它空跑一遍、看看它究竟想碰什么，再决定锁几道。

这思路对。先观察，再执法。

谁已经站在圈里

名单挺长。已经支持 MXC 的：OpenAI 的 Codex、GitHub Copilot、OpenClaw、Replit、LM Studio、英伟达的 OpenShell、Unsloth AI。

在排队的：Anthropic 的 Claude Code、Box、Egnyte、Heidi Health、Nous Research 的 Hermes Agent、Manus、Perplexity、Raycast、Simular。

还有一条：Meta 的 Muse 会以原生 Windows 应用的形式登陆，并接入 MXC。

配套的三件事也一并说了：Entra 以后要能分清"这个动作是智能体做的、还是坐在电脑前的人做的"；Agent 365 的管控会延伸到设备上的本地智能体；Intune 以后管 MXC 容器。话都放出来了，钥匙还没发全。

然后是那句免责

开源的 MXC 仓库里，现在还挂着一条警告。原文的意思是：当前 SDK 生成的策略，有些地方过于宽松；任何 MXC 配置，都还不应被当作安全边界。

另外一句：Windows 上的对外网络过滤尚未完整。

这条更要命。智能体搞砸的典型方式，不是把机器弄崩，是把不该出去的东西发出去。门装好了，窗户还没纱窗。

微软没把这两句藏起来，这点值得记一笔。多数厂商的发布会通稿里，这类话都排在第三页的小字里。

施工中

我在 IT 部门干了几年，对这种语气熟得很："策略已下发"，后面往往紧跟一句"但请注意以下例外情况"。发策略的人比谁都清楚哪条缝还在漏风。

区别在于，这次厂商自己就说了。

圈是画了。圈边上写着：施工中。

就像给刚搬进来的室友配了钥匙、分了一个柜子，然后在冰箱上贴张条——东西先别多放，锁还没换好。