MXCが一般提供開始：Windows 11でAIエージェントを隔離する仕組みと企業の確認事項

公開日：2026年10月12日更新日：2026年10月19日文：クリスタルメソッド編集部監修：河合継（代表取締役）

MXCが一般提供に：何が発表されたのか

Microsoftは2026年10月7日、AIエージェントの動作範囲をOS側で制限するMicrosoft Execution Containers（MXC）の一般提供を始めた。発表したのはWindows Platform + Developer担当コーポレートバイスプレジデントのLogan Iyer氏で、Windows開発者向け公式ブログに仕様が公開されている（出典：Windows Developer Blog、2026年10月7日）。

MXCは、AIエージェントが触れてよいファイルと通信先を、開発者とIT管理者があらかじめポリシーとして決め、実行時にOSが強制する仕組みだ。ポリシーの適用はエージェントの外側で行われるため、エージェント自身が権限を広げることはできない。Iyer氏は、エージェントが自分自身のセキュリティの判定役を兼ねることはできない、という考え方を示している（出典：iTWire、2026年10月9日）。

同じ日に発表されたローカルAI向けの新しいSurfaceや、ローカルとクラウドのAIを使い分ける「ハイブリッドインテリジェンス」については、Windowsのオープンウェイトモデル対応の解説とCopilotのPCファイル管理機能の解説で扱っている。この記事はMXCに絞って、仕組みと、まだ提供されていない部分を整理する。

図：MXCの考え方。使ってよいファイルと通信先をポリシーで決め、OSが実行時に強制する。エージェントは自分で権限を広げられない。

エージェントに与える権限が広すぎるときは、AIエージェント権限管理のセキュリティリスクで説明しています。

関連記事AIエージェントとは？仕組みと種類は？

4種類の隔離方式と対応OS

MXCには隔離の強さと対応OSが異なる4つの方式がある。公式ブログは、方式ごとにセキュリティ上の性質が違うため、用途に合うかを個別に評価するよう求めている。

方式	対応OS	内容
プロセスコンテナ	Windows 11・macOS・Linux	OS標準の隔離機構を使う（Windows＝AppContainer、macOS＝Seatbelt、Linux＝Bubblewrap）
セッションコンテナ	Windows 11のみ	別のWindowsアカウントとセッションで動かす。デスクトップ、クリップボード、入力が利用者と分かれる
WSLコンテナ	Windows 11のみ	WSL上のLinux環境で動かす
MicroVM	Windows 11・Linux	ハードウェアによる仮想化で分離する。現時点では実験的という扱い

MXCはWindows専用ではなく、プロセスコンテナはmacOSとLinuxでも動く。Copilot+ PCやNPUが前提という条件も公式ブログには書かれていない。コードはMITライセンスでGitHubに公開されており、開発者は自分のアプリにSDKとして組み込む（出典：The Stack、2026年10月9日）。Windows 365でも一般提供となり、クラウドPC上でエージェントを動かす構成にも使える。

次に読む：AIエージェントの安全性と企業導入は？

AIエージェント安全性と企業導入——Nvidia発表が示すリスク管理の新基準

導入時に使い分ける3つの動作モード

最小限の権限だけを与えるポリシーは、エージェントが実際に何を必要とするかが分かるまで書きにくい。公式ブログもこの難しさを認めており、段階的に絞り込むためのモードを3つ用意している。

モード	許可していない操作	活動記録	使いどころ
Enforcement（強制）	遮断する	なし	本番のポリシーで動かす
Learning（学習）	遮断して記録する	あり	失敗の原因を調べ、権限が最小かを確かめる
Permissive（許容）	許可して記録する	あり	強制せずに、まず挙動を観察する

活動記録を出力できるのは、現時点ではWindowsのプロセスコンテナだけだ。Permissiveモードでも、OSや組織が別に設けている制限は外れない。

対応済みのエージェントと、これから対応するもの

一般提供の時点で対応しているのは、GitHub Copilot、OpenClaw、OpenAI Codex、Replit、LM Studio、Unsloth AIの6つだ。NVIDIAもOpenShellをMXCに統合した。

今後対応すると発表されているのは、AnthropicのClaude Code、Box、Egnyte、Heidi Health、Nous ResearchのHermes Agent、Manus、Perplexity、Raycast、Simularなどで、時期は示されていない。Claude Codeを業務で使っている組織は、現時点ではMXCの対象外である点に注意したい。

「一般提供」でもまだ使えない管理機能

一般提供になったのは隔離の仕組みそのもので、企業が端末を一括管理するための機能はこれからだ。

Intuneによるポリシー配布：Windows 11上のプロセスコンテナを管理するIntuneポリシーは「まもなく提供」とされ、時期は示されていない。
Entraでの識別：エージェントの操作と利用者本人の操作をMicrosoft Entraで区別する機能も「まもなく」の扱いだ。
Agent 365との連携：端末上のエージェントをAgent 365から管理、監視する機能は計画として示された段階にある。

The Stackは、Intuneのポリシーがまだ無いことから、今回の一般提供が企業での本格運用に足りるかを疑問視する見方を紹介している。数百台規模で統一したポリシーを配りたい組織は、Intune対応の時期が決まるまで、全社展開の計画を確定しにくい。

MXCが制限するのは、エージェントが触れる範囲だ。許可した範囲の中でエージェントが誤った操作をすることや、与えた権限が広すぎることまでは防げない。OSの更新管理、端末の検知と対応（EDR）、ID管理といった従来の対策は引き続き必要になる。

同時に発表されたローカルAI向けハードウェア

MXCと同じ日に、端末の中で大きなモデルを動かすためのハードウェアも発表された（出典：iTWire）。

Surface Laptop Ultra：2,599ドルから。予約受付中で、10月16日に出荷が始まる。
Surface RTX Spark Dev Box：5,999ドル。米国で11月に出荷される。
どちらもNVIDIAのRTX Spark Superchipを搭載し、メモリは最大128GB。Microsoftは1,200億パラメータを超えるモデルを端末内で動かせるとしている。
Asus、Dell、HP、Lenovo、MSIのRTX Spark搭載ノートPCも予約が始まった。
NVIDIAのGB300を使うDGX Stationは年内にWindowsへ対応する予定だ。

価格と出荷時期は米国での発表で、日本での価格と発売日は発表されていない。

日本企業が今の段階で確認しておくこと

使っているエージェントが対応済みかを調べる。GitHub CopilotやCodexは対応済みだが、Claude Codeなどは対応予定の段階だ。社内で使っているツールを洗い出し、対応済み、対応予定、未定に分けておく。

まずPermissiveかLearningで動かす。いきなり強制モードで絞ると、必要な操作まで止まって業務に支障が出る。少人数の部署で挙動を記録し、必要なファイルと通信先が分かってからEnforcementに切り替える手順が現実的だ。

隔離方式を用途で選ぶ。MicroVMは実験的な扱いで、セッションコンテナとWSLコンテナはWindows 11に限られる。Macを使う開発部門がある場合、使えるのはプロセスコンテナだけになる。

一括管理の時期を確認する。IntuneとEntraの対応時期が公表されるまでは、端末ごとの設定に頼ることになる。全社展開の稟議には、この時期の見通しを条件として書いておくとよい。

参考文献

Logan Iyer「Microsoft Execution Containers: policy-driven containment for AI agents」Windows Developer Blog（2026年10月7日）— blogs.windows.com
Nick Ross「Microsoft introduces Execution Containers and new Surface devices for local AI workloads」iTWire（2026年10月9日）— itwire.com
Edward Targett「Microsoft takes MXC, its agent management layer, GA」The Stack（2026年10月9日）— thestack.technology
MXCのソースコード — github.com/microsoft/mxc