让 AI 助手改代码，它顺手把生产环境配置也改了。微软在官方博客里拿这个当例子。
10 月 7 日，微软宣布 Microsoft Execution Containers（MXC）在 Windows 11 上正式可用。开发者或 IT 管理员用一份 JSON 配置声明，这个 agent 能碰哪些文件、能连哪些网络地址，策略在运行时强制执行。策略独立于 agent 自身逻辑之外，agent 没法给自己提权，也没法给动态生成的代码额外授权。
这套机制对普通用户的意义，可以想成给 AI 助手划了个围栏。你想让它整理桌面文件，就只给桌面目录的权限，它想顺手读你的聊天记录或者往外发请求，会被拦下来。围栏还分级，轻量任务用进程容器保响应速度，跑不信任的代码就上会话容器或者 microVM。
我挺认同微软这次的思路，但更大的看点在身份那一层。
微软把 agent 安全拆成三件事，围栏管能碰什么，身份管刚才是谁干的，管理把 agent 活动接进 Agent 365 和 Intune 给企业做策略下发和审计。已经支持 MXC 的包括 OpenAI Codex、GitHub Copilot、OpenClaw、NVIDIA OpenShell，Claude Code、Manus、Perplexity 也在接入路上。Windows 这边还独有一份 agent 活动审计报告，帮开发者按最小权限原则收紧策略。
我的怀疑在落地。策略写得粗，围栏等于没有；写得太细，agent 动不动被挡，人会烦到直接关掉。微软自己都建议 agent 被拦时要主动告诉用户原因，别静默失败，可见他们清楚这个摩擦存在。
如果系统让你亲手给 AI 助手划权限范围，你会划在哪一层，只给当前文件夹，还是干脆全放开？