LC Signal ソフトウェア・デジタルサービス

Microsoft、AIエージェントの実行範囲を制御する「MXC」を一般提供

Microsoftは米国時間10月7日、AIエージェントの実行範囲を制御する
「Microsoft Execution Containers（MXC）」の
Windows 11での一般提供を発表した。
開発者やIT管理者がファイルや通信へのアクセス範囲を設定し、
エージェントの実行時にその制限を適用する。
AIに作業を任せる際、触れてよい資源を実行環境の側で区切る仕組みだ。

何が変わるのか──エージェント自身が権限を広げられない仕組み

MXCでは、アクセスを認めるファイルや通信先などを、
エージェントの管理外にあるポリシーで定義する。
Microsoftは、エージェントや実行するコードが、
自分で追加の権限を取得できない境界を設けると説明している。

同社が示す例では、Webサイトを開発するエージェントに、
ソースコードの読み書きを認める一方、
サーバーの設定ファイルは読み取りだけに制限する。
エージェントが設定変更を必要だと判断しても、
許可されていない書き込みは実行環境が遮断する。
制御の対象には、エージェントが使うツールやプラグインも含まれる。

実行環境の設計──共通のポリシーと複数の隔離方式

開発者ブログによると、MXCはJSON形式のポリシーとSDKを用い、
Windows、macOS、Linuxの実行環境に対応する設計となっている。
プロセス単位の隔離は3つのOSに対応し、
Windows 11では専用アカウントとセッションを使う方式も用意する。
方式によって隔離の性質は異なり、
ハードウェア仮想化を使うMicroVMは実験段階とされている。

Microsoftの発表では、Codex、GitHub Copilot、Replit、
LM StudioなどがすでにMXCをサポートしている。
Claude Codeなどの対応は今後の予定として挙げられており、
現時点の対応製品とは区別されている。

許可範囲を調整するための記録機能

Windowsのプロセスコンテナでは、
エージェントがアクセスを試みた資源を記録できる。
通常の強制モードに加え、記録を伴うモードを2つ用意する。
許可されていない操作を遮断して記録する「学習モード」と、
操作を許可しながら、本来なら遮断される内容を記録する「許容モード」だ。
許容モードでも、OSや組織が設けた別の制限を回避できるわけではない。

LC Signalの視点──任せる作業と、管理者が持つ権限を分ける

ソースコードは変更できても、サーバー設定は変更できない。
Microsoftの例は、エージェントに任せる作業と、
管理者が保持する権限を具体的に分けている。
作業内容に合わせて許可範囲を設計することが、
導入時の実務になりそうだ。

すでに複数の開発ツールが対応する一方、
Windows 11のプロセスコンテナをIntuneから管理する機能は今後の予定だ。
今回の一般提供で使える実行時の制御に加え、
組織全体でポリシーを配布・管理する機能がどう整うかも、
企業での運用を考える際の確認点になる。

主要情報源

本記事は2026年10月8日時点の公開情報に基づき、AIを活用して作成しています。
発表日は公式ページの日付表記に従っています。
対応予定の機能・製品は、現在提供されているものと区別して記載しています。
「LC Signalの視点」は、公開情報を踏まえた本メディアの考察です。

LC Signal の記事一覧へ戻る