ニュース解説（公式発表に基づく）｜発表日：2026年10月7日｜資料確認日：2026年10月28日
Microsoftは10月7日、Microsoft Execution Containers（MXC）の一般提供を案内しました。AIエージェントが使えるファイルや通信先を、実行前に決めた方針で制限する仕組みです。コードを生成できることと、そのコードにどこまで操作を許すかを切り分ける点が今回の発表の中心です。本稿は公式仕様の解説で、隔離強度の独自検証は行っていません。
指示文の外側で操作範囲を決める
公式説明では、開発者や管理者が定義したポリシーを、実行環境側が適用します。エージェント自身が権限を追加する設計ではありません。例えば、ウェブサイトのソースは編集できても、個人用の文書や本番設定は触れない、という境界を作る考え方です。
これは、モデルが意図を正しく理解するかとは違う層の対策です。依頼の解釈が正しくても、作業の途中で不要な場所に手を伸ばす可能性は残ります。先に操作範囲を狭めておけば、生成結果の確認と権限の管理を別々に考えられます。
隔離方式は一種類ではない
MXCは複数の実行方式を扱います。公式表ではプロセス方式がWindows、macOS、Linuxに対応し、セッション方式とWSL方式はWindows 11が対象です。MicroVM方式には実験段階という表記があります。対応OSが同じでも、方式ごとの性質を同一視できません。
- 短いツール処理では、必要なファイルと通信先を具体的に列挙する。
- デスクトップを操作する仕事では、人の作業領域との分離を確認する。
- 実験段階の方式は、評価環境と運用環境を分けて扱う。
一般提供と今後の機能を分ける
今回一般提供されたのはMXCの実行境界です。Microsoft Entraによる人とエージェントの活動識別や、Microsoft Agent 365の管理を端末上のエージェントへ広げる機能については、発表内に今後の提供という説明があります。関連する構想を、すべて導入済みの機能として数えるべきではありません。
導入計画では、現在利用できる制限機能だけで満たせる要件を書き出す必要があります。将来の管理画面が前提となる監査や承認フローがあるなら、提供条件を別に確認してください。
試す前に用意したい検証
最初の試行には、秘密情報を含まない小さなリポジトリが適しています。許可したファイルを編集できるかと、許可していないファイルを編集できないかを、両方確かめます。通信についても、必要な取得先へ届くかだけでなく、想定外の接続がどう扱われるかを見る必要があります。
制限が厳しすぎれば仕事は止まりますが、止まるたびに広い権限へ変更すると、何を守る境界なのかが曖昧になります。失敗した操作を記録し、用途ごとに必要最小限の変更を加える運用が重要です。
安全性を一つの製品名で判断しない
MXCの採用だけで、出力内容、依存パッケージ、外部サービスへの送信まで自動的に正しくなるわけではありません。レビューや復旧手順も引き続き必要です。公式資料から読み取れるのは権限を実行環境で制御する設計であり、個々の運用における安全性の保証ではありません。