Microsoft Execution Containers: límites que los agentes no pueden saltarse
Microsoft Execution Containers (MXC) ya está disponible de forma general como una capa de contención para agentes de IA. La idea es directa: antes de delegar una tarea, una empresa define qué recursos puede usar el agente y Windows aplica ese límite durante la ejecución.
De permisos amplios a una frontera aplicada por el sistema
Microsoft pone la política fuera del agente para controlar archivos, red, interfaz y actividad antes de producción.
Microsoft Execution Containers (MXC) ya está disponible de forma general. Su función es contener cargas de trabajo de agentes de IA con políticas que definen recursos permitidos, como archivos y destinos de red, y que se aplican durante la ejecución.
Qué es MXC y en qué punto está
Microsoft Execution Containers está disponible de forma general como una capa de ejecución basada en políticas para código no confiable o cargas de trabajo generadas dinámicamente. En escenarios con agentes, puede contener la salida generada por el modelo, complementos, herramientas, el harness del agente o el agente completo.
La noticia no es un anuncio de una función futura: MXC está disponible de forma general. Microsoft también indica que el soporte de MXC para Windows 365 está disponible de forma general. En cambio, la integración próxima de Microsoft Entra para distinguir actividad de agentes y la política de Intune para administrar determinados contenedores todavía se describen como capacidades que llegarán después.
El cambio importante
Un agente no debe ser su propia autoridad de seguridad. La política queda fuera de la carga de trabajo, por lo que el agente o el código generado no puede concederse acceso adicional.
Qué puede controlar una política de MXC
MXC permite declarar los recursos que una carga de trabajo necesita y aplica la frontera resultante con el contenedor adecuado. Esto evita entregar al agente toda la autoridad de la persona que inició sesión y obliga a pensar en el alcance real de cada tarea.
| Área de política | Qué controla | Decisión operativa |
|---|---|---|
| Contención | El entorno aislado donde corre la carga de trabajo. | Elegir el nivel de aislamiento según el riesgo. |
| Proceso | Comando, argumentos, directorio de trabajo, entorno y otros ajustes de inicio. | Definir cómo se inicia la carga de trabajo. |
| Sistema de archivos | Ubicaciones que puede modificar, solo leer o no acceder. | Separar escritura, lectura y acceso denegado. |
| Red e interfaz | Conectividad de entrada y salida, además del acceso al escritorio y recursos de interfaz. | Limitar destinos de red y la interacción con la sesión. |
Microsoft describe varios backends de contención. El contenedor de proceso está disponible en Windows 11, macOS y Linux. El contenedor de sesión y el contenedor WSL están disponibles solo en Windows 11. MicroVM está disponible en Windows 11 y Linux como opción experimental para cargas de mayor riesgo.
Contener no es elegir permisos al azar
Cada backend tiene propiedades de seguridad distintas. La carga de trabajo debe evaluarse para elegir el modelo de contención adecuado; un agente que requiere respuesta rápida no tiene necesariamente las mismas necesidades que uno que procesa datos sensibles o ejecuta código no confiable.
Cómo observar y ajustar permisos antes de producción
Definir una política de mínimo privilegio puede ser difícil cuando todavía no se conocen todos los recursos que requiere un agente. En Windows, los contenedores de proceso de MXC pueden generar un reporte de actividad del agente para identificar los recursos que intentó usar.
Delimita la tarea
Declara los archivos, destinos de red y demás recursos que la carga de trabajo requiere para completar una tarea específica.
Observa los intentos de acceso
Usa los modos de aprendizaje o permisivo para reunir evidencia sobre los recursos que el agente intenta utilizar.
Aplica la política de producción
Ajusta el límite con esa evidencia y ejecuta en modo de aplicación, donde las operaciones fuera de la frontera quedan restringidas.
MXC tiene tres modos de operación. En aplicación, los accesos no otorgados se bloquean y no se genera reporte de actividad. En aprendizaje, los accesos no otorgados se bloquean y se registran. En permisivo, se registran los accesos que la política habría denegado, pero se permite que la operación continúe. Este último modo no omite otras restricciones aplicables del sistema operativo o de la organización.
Aplicación para agencias, SaaS, soporte y ecommerce en México y Latinoamérica
Para empresas de México y Latinoamérica, la conversación deja de ser solamente qué tarea se delega. También debe incluir qué puede leer el agente, qué puede modificar, a qué destinos de red puede conectarse y si necesita interactuar con el escritorio.
Ejemplo basado en el escenario de Microsoft
Microsoft plantea un agente de programación que actualiza un sitio web. Puede requerir lectura y escritura en el repositorio, además de herramientas de desarrollo como Git. Puede leer la configuración de producción para entender el despliegue, pero no debería modificarla. La misma lógica ayuda a una agencia, un SaaS, un equipo de soporte o un ecommerce a separar lo necesario de lo que debe quedar fuera de alcance.
La aplicación práctica no consiste en asumir que un agente necesita acceso total. Consiste en convertir el trabajo en permisos específicos: una ubicación para modificar, otra para lectura, destinos de red definidos y acceso a interfaz solo cuando sea indispensable. Si una política organizacional bloquea un recurso, el agente debería explicar que no puede completar la tarea dentro de los permisos disponibles, solicitar la acción correspondiente cuando exista soporte o elegir una alternativa segura.
Un camino para delegar con límites verificables
El valor de MXC está en pasar de permisos amplios a una frontera revisable. Microsoft separa los requisitos de la carga de trabajo de los detalles de contención de cada plataforma mediante una configuración JSON unificada y SDK para varios lenguajes.
- Define la tarea y los recursos mínimos antes de ejecutar al agente.
- Distingue archivos que el agente puede modificar, archivos que solo puede leer y ubicaciones que no debe tocar.
- Limita conectividad de entrada y salida a los destinos necesarios.
- Revisa los reportes de actividad durante el diseño de la política.
- Usa el modo de aplicación para la política de producción.
Para una empresa, la decisión es operativa: automatizar sí, pero con permisos concretos y evidencia sobre la actividad. MXC busca que una instrucción razonable para el modelo no se convierta en una acción que exceda la autoridad que la organización quería otorgar.
Preguntas frecuentes sobre MXC
¿MXC ya está disponible o solo fue anunciado?
Microsoft indica que Microsoft Execution Containers está disponible de forma general. También señala disponibilidad general de soporte de MXC para Windows 365.
¿Qué recursos puede limitar MXC?
La política puede controlar el entorno de contención, el proceso de inicio, el sistema de archivos, la conectividad de red y el acceso a recursos de interfaz de usuario.
¿Un agente puede darse permisos adicionales?
No. La política permanece fuera del control de la carga de trabajo, por lo que el agente o el código generado no puede concederse acceso adicional.
¿Cómo ayuda MXC a crear una política de mínimo privilegio?
En Windows, los contenedores de proceso pueden generar reportes de actividad. Los modos de aprendizaje y permisivo permiten observar intentos de acceso para ajustar los recursos concedidos.
¿Todos los modos bloquean accesos no otorgados?
No. En aplicación y aprendizaje, los accesos no otorgados se bloquean. En permisivo, se registran los accesos que se habrían denegado, pero la operación puede continuar.
Fuentes
Define límites antes de delegar
Agenda una demostración con Zadrig Technology para revisar cómo convertir tareas de agentes en permisos específicos, políticas revisables y evidencia de actividad.
Agendar demostración
