エージェント隔離がOS標準に MXC GAとCopilot/Codex実装

10月7日、エージェントの境界はプロンプトからOSへ移った

AIエージェントの安全性は長らく、システムプロンプトとプロンプトインジェクション対策で語られてきた。2026年10月7日、その前提が崩れた。Microsoft Execution Containers（MXC）が一般提供（GA）に入ったからだ。同じ週にMicrosoftのMXC GA、GitHubによるCopilotローカルサンドボックスGA、OpenAIのCodex MXCモード追加（発表は10月9日）が重なった。一次情報の数字だけを並べる。

MXCは「製品」ではなくSDKである

MXCはインストールする製品ではなくSDKだ。1枚のJSONポリシーで「このワークロードが触ってよいファイル・ネットワーク・UI」を宣言すると、OSが適切な隔離機構に翻訳し、実行時に強制する。ライセンスはMIT、コードはmicrosoft/mxcで公開済み。SDKはRust・.NET・Node.jsの3系統で、10月7日付のv1.0.0が最初の安定版である。

バックエンドは4種類。Process container（Windows 11=AppContainer、macOS=Seatbelt、Linux=Bubblewrap）は生成コードやツール呼び出しなど軽量・即応系向け。Session containerはWindows 11のみで、別アカウント・別セッションによりデスクトップやクリップボード、UI、入力まで分離する。WSL containerはLinux前提のツールチェーン向け、MicroVMはハードウェア支援の完全分離だが実験的扱いだ。設計上重要なのはポリシーがワークロードの外側に置かれる点で、モデルが生成したコードが自分自身の権限を拡張することはできない。learningモードでは許可していない操作をブロックしつつJSON形式の操作レポートを書き出すため、ポリシー本体を後から書ける。

GitHub CopilotのローカルサンドボックスGA

GitHubは10月7日、Copilot CLI・Copilotアプリ・Agent Hostを使うVS CodeのローカルサンドボックスGAを告知した。追加料金なし（クラウド側は従量課金）。/sandbox enableの1コマンドで有効になり、/sandbox statusで実際に強制されている内容を確認、/sandbox policy npm installのようにコマンドを渡すと実行前の付与内容をプレビューできる。設定は~/.copilot/settings.jsonに保存される。

既定値は次の通り。ファイルはカレントディレクトリと一時領域が書き込み可、Gitリポジトリ内ではGitメタデータも書き込み可で、作業ディレクトリより上は読み取り専用、ホームディレクトリ全体は公開されない。ネットワークは外向きインターネットが既定オン、ローカルネットワークが既定オフ。資格情報はGit / gh認証が既定オンだが、サンドボックス内のコマンドにはプレースホルダが渡され、承認されたHTTPS宛先にだけローカルプロキシが本物を差し替える。

ここは誤解されやすい。Copilot CLI自体はサンドボックス化されない。内蔵のファイルツールは同じプロセスで動くためOSの境界の外側にあり、ポリシーを「ベストエフォートで」自分で確認する実装だ。OSが実際に閉じ込めているのは子プロセス——シェルコマンド、ファイル検索、既定ではローカルMCPサーバーと言語サーバーである。リモートMCPサーバーは決してサンドボックス化されない。対応要件はOS別で、Windowsは11 25H2 + KB5124010以降（または26H1 + KB5124006以降）、macOSはSeatbeltで15 Sequoia以降を推奨、Linuxはbubblewrap 0.5.0以降を要する。

OpenAI CodexのMXCモード（10月9日）

OpenAIは10月9日、Windows版CodexにMXCベースのサンドボックスモードを追加した。従来のelevatedが要求した管理者承認・専用Windowsアカウント・ローカルファイアウォール規則が不要になるのが実利的な違いだ。設定はconfig.tomlの[features]セクションにprefer_mxc = true。強制ではなく「優先」が推奨で、MXCが使えない環境では従来フローに自然に落ちる。1コマンドだけ試すならCodex CLI 0.162.0以降で次を実行する（期待値はMXC_OKと終了コード0）。

codex -c windows.sandbox=mxc sandbox --include-managed-config --permission-profile :workspace -- cmd.exe /d /c echo MXC_OK

管理者はrequirements.tomlでfeatures.prefer_mxc = trueを強制でき、逆に封じるなら[windows]のallow_mxc = falseで止められる。MXCのプロセス分離はWindows 11 24H2（build 26100.9278）／25H2（build 26200.9278）で導入された。制約は2点。管理されたネットワークではallow_local_binding = trueが必要で、MXCはホストloopback上のサービスへの接続を許可する。またフォアグラウンドのコマンドが終了すると残りの子プロセスも停止するため、切り離して動かす開発サーバー前提のワークフローは動かない。

併せて出た数字：MAI-Code-1.1-Flashのローカル実行

同日、MicrosoftはMAI-Code-1.1-Flashのオンデバイス版を公開した。総パラメータ137B・アクティブ6.8BのMoEで、約3.3ビット/重みの量子化により53GB——サイズは80%削減、コンテキストは256Kを維持する。測定は2026年10月5日、Windows ARM64 llama.cpp CUDAランタイム＋DFlash2投機デコーディング。

SWE-Bench Verified: クラウド版bf16 72.6% → オンデバイス量子化版 70.80%（GPT-OSS-120B比較は32.0%）
Terminal-Bench 2.1: 62.9% → 66.29%（同23.6%）
256kコンテキストでピークメモリ75.5GB、64k/128kのプロンプト処理は923.5／769.8トークン/秒
ローカル推論に課金なし。推奨は120GB超のRAM

量子化版がTerminal-Benchで上回るのは測定条件の差と読むのが妥当だ。

まとめ：GAの中身は非対称である

今すぐ使えるのは、MXC本体、Windows 365対応、Copilotのローカルサンドボックス（追加料金なし）、CodexのMXCモード。「近日提供」で日付未定なのが、Intuneポリシー、Entraによるエージェント帰属、Agent 365のオンデバイス制御である。つまり「どのエージェントが操作したか」をエージェント名義で記録する仕組みはGA時点ではまだ入っていない。監査ログ上は依然として人間の名前で残り、境界線を引いているのはエージェントを作った開発者自身であり、Microsoft自身が「エージェントは自分自身のセキュリティ当局にはなれない」と書いている。

MXCのVM級バックエンドは実験的扱いのままで、2026年2月19日に同社Defender Security Research TeamがOpenClawについて「標準的な個人・企業ワークステーションで動かすのは適切でなく、専用VMか別の物理マシンでのみ評価せよ」と書いた警告を、10月7日の発表は撤回していない。問いは「サンドボックスに入れたか」ではなく、どの強度の隔離に、誰が境界を書くのかである。