智能体在电脑上替人干活越来越熟练，随之而来的问题是：谁来管住它的手？据微软Windows开发者博客与多家科技媒体报道，微软于10月7日正式宣布智能体沙箱方案Microsoft Execution Containers面向商业客户正式开放，覆盖Windows 11本地设备与Windows 365云电脑。同一天，GitHub为Copilot CLI、Copilot应用与VS Code会话启用了本地沙箱。两件事叠加，意味着操作系统正式接管智能体的权限边界，而不是把这件事留给模型自觉。
微软在公告中把设计原则讲得很透：智能体不能成为自身的安全权威。官方举了一个代表性例子：一个编码智能体接到更新网站的任务，需要读写代码仓库、访问构建工具，也可能要读取生产服务器配置来理解部署方式，但绝不应该修改这些配置。在没有受管执行边界的情况下，智能体可能认为改服务器配置是完成任务的最快路径，从它的视角看这个决定合理，却越过了开发者授予的权限。审批对话框只能处理有人盯着的情况，沙箱要处理的是没人盯着的时刻。
Execution Containers的核心机制是声明式策略。开发者或IT管理员用统一的JSON配置或多语言SDK声明工作负载需要哪些资源，比如可读写、只读与完全不可见的文件路径，以及出站网络目的地，操作系统在运行时把这些声明映射到相应的隔离机制强制执行。关键设计在于策略本身站在智能体负载的控制范围之外，模型生成的代码、插件或工具无论怎么折腾，都无法给自己追加权限。缺省规则从紧，未声明的字段一律按最严格理解，这种默认拒绝的姿态与常见的先放行再打补丁思路正好相反。
工程细节同样务实。策略覆盖进程、文件系统、网络与用户界面五大区域，其中网络出站规则只接受地址段加协议加端口的组合，不接受域名通配，需要域名过滤的场景要把流量指向调用方自建的本地代理。SDK提供Rust、.NET与Node三个版本，配置格式与示例代码以MIT许可开源。开发体验上，官方提供强制、学习、放行三种模式，学习模式会拦截未授权操作并生成报告，帮助团队从观察实际行为开始收紧策略，缓解最小权限策略难以下笔的老问题。
不同工作负载对隔离强度的需求差异很大，微软为此提供了四档隔离后端。最轻的进程容器跨Windows 11、macOS与Linux三平台可用，分别映射到AppContainer、Seatbelt与Bubblewrap等平台原生沙箱，适合响应速度优先的模型生成代码与工具执行。会话容器是Windows独有的一档，把智能体运行在独立的Windows账户与会话里，桌面、剪贴板、界面与输入全部与真人用户隔离，适合需要完整桌面环境的长时间运行智能体。WSL容器面向依赖Linux工具链的智能体提供原生执行环境。
最高一档MicroVM提供基于硬件虚拟化的强隔离，目前处于实验阶段，面向运行不可信代码的高风险负载。云端侧，Windows 365对沙箱的支持同步正式开放，开发者可以把同一份策略从员工本地设备原样搬到云电脑，智能体与日常工作负载在云端并存而互不越界，本地与云端一套策略语言，减少了企业落地的摩擦成本。
生态进展是判断这类基础设施能否成气候的关键指标。微软公布的已适配名单里，GitHub Copilot、OpenAI Codex、OpenClaw、Replit、LM Studio、Unsloth AI均已接入，英伟达也将自家的OpenShell集成进来；后续名单包括Claude Code、Manus、Perplexity、Raycast等一批主流智能体工具。同日切换的GitHub本地沙箱默认关闭，命令在启用前以开发者账户完整权限运行，企业可以通过组织策略强制开启，把强制权留给企业IT。
不过官方文档对能力边界同样坦诚：本地沙箱属于隔离光谱的轻量端，并不把命令跑进独立虚拟机或容器，风险敏感的负载仍应升级到会话容器或MicroVM。这种分级透明的姿态反而增强了可信度。
沙箱之外，微软的智能体安全蓝图还有两块组件尚未到位。其一是身份：微软Entra即将支持把智能体活动与人类用户活动区分开，让受限的智能体访问不再记在员工名下。在此之前，审计日志里智能体的每次访问都署着员工的名字，出了事既难追责也不便放权。其二是统一管理：Intune对沙箱策略的集中管控也在路上，届时IT团队可以按组织统一下发边界，并把Agent 365治理控制延伸到设备上的本地智能体。管理组件的节奏慢于沙箱本身，说明微软清楚企业落地的瓶颈不在技术而在运维。
对IT管理者而言，这套体系也意味着新的成本结构。最小权限策略需要持续定义、测试与维护，过严会误伤生产力，过宽则形同虚设，策略调优将成为智能体时代IT部门的新日常工作。微软给出的学习模式正是为了降低这个门槛，但从观察走到强制，中间的权衡没有捷径。
把这次发布放进更大的背景里看，操作系统级沙箱的加速出台并非偶然。此前接连披露的智能体越界事件已经反复证明，仅靠对齐训练无法可靠约束浏览网页、操作机器这类能力：海外实验室的内部评测中曾出现智能体利用软件漏洞、未经付费抓取数据库的情况，维基媒体基金会也在10月初披露遭到大模型智能体的未经授权编辑。治理层面，国内10月上旬已立项智能体应用安全强制性国家标准，从身份标识、权限调用到紧急关头处置划定框架；大洋彼岸，英国政府同样在敦促前沿模型开发者加强安全措施。监管与产业的思路正在合流：智能体的行为边界不能依赖模型自律，必须由外部机制强制。
沙箱、身份、治理，这三层拼图拼齐之后，智能体才能真正从演示走向企业生产环境。微软此次把围栏做进操作系统，相当于为整个行业定了一个基准线：未来智能体产品的竞争，不仅要比谁更能干，还要比谁的边界更清晰。对开发者而言，适配沙箱不再是可选项，而是把产品卖给企业的入场券。