Microsoft Execution Containers（MXC）は、エージェント自身の意思決定プロセスとは独立して機能する外部で定義されたポリシー境界を適用することにより、AIエージェントにとって重要なセキュリティ層を提供します。エージェントが自発的にシステム相互作用を制限するのに依存するのではなく、MXCは開発者にワークロードが必要とする特定のリソース—指定されたファイルシステムディレクトリやネットワークエンドポイントなど—を明示的に宣言することを要求し、その後適切なコンテナ技術を用いてそれらの制約を自動的に適用します。このアプローチは、「エージェントは自身のセキュリティ当局になり得ない」というコアな限界に直接対処します。なぜなら、たとえエージェントが禁止されたリソース（ウェブサイトの更新時に本番サーバー設定を変更しようとするなど）にアクセスしようとしても、コンテナ環境がエージェントの内部論理や生成コードに関わらずその操作を防止するからです。

MXCは、ワークロードの要求に応じて遮断の強度を調整できる段階的な隔離オプションのスペクトラムを提供します。すべてのエージェントタスクが同等のセキュリティ対策を必要とするわけではないことを認識しています。モデル生成コードの実行や開発ツールの使用など、軽量で応答性の高い操作については、WindowsのAppContainer、macOSのSeatbelt、LinuxのBubblewrapなどのネイティブプロセスサンドボックス機構を採用し、パフォーマンスオーバーヘッドを最小限に抑えながら必須の隔離を提供します。対照的に、デスクトップ環境へのアクセスやインタラクティブなユーザーセッションからのより強い分離が必要なエージェントについては、Windows 11専用のセッションコンテナを利用できます。これは異なるアカウントで動作し、デスクトップ、クリップボード、UIの境界を完全に分離します。Linux志向のエージェントチェーンは、本格的なLinux実行環境を提供するWSLコンテナから恩恵を受けます。一方、機密データの取り扱いや信頼できないコードにおいて最大限の隔離が求められるワークロードには、実験的なMicroVMがハードウェアレベルでの仮想化を提供します。

コアな遮断機能に加えて、MXCは運用ガバナンスとトラブルシューティングの柔軟性を高める高度なポリシー開発とアイデンティティ帰属機能を組み込んでいます。システムには3つの異なる動作モードがあります：Enforcementモードは活動レポートを生成せずにポリシーを適用し、本番環境でのデプロイに適しています；Learningモードはポリシー違応をブロックしログに記録して、管理者が観測された動作に基づいて最小特権のアクセスルールを調整するのを助けます；Permissiveモードはブロックされた操作を完了させながら、何が拒否されるべきだったかを記録します。これにより実際のセキュリティ違反を引き起こさずにポリシーテストを容易にします。これらの制御を補完する形で、今後提供されるMicrosoft Entra統合により、Microsoft Agent 365などの監視ツールにおいて、エージェントが開始したアクティビティとユーザーのアクティビティを区別できるようになります。これにより、侵害されたエージェントへの対応がエージェントのアクセス権限のみに限定され、従業員の正当な生産性を損なうことなく済みます。このフレームワークは、GitHub Copilot、OpenClaw、OpenAI Codex、Replit、LM Studio、Unsloth AIなどの著名なエージェントプラットフォームで既に採用されており、エージェントがリポジトリやツールへのアクセスを必要としながらも、関係のないシステムリソースから厳しく制限される実際の開発者ワークフローへの適用可能性を示しています。