安全观察｜微行研究组

AI代理开始修改文件、运行程序和操作电脑后，权限范围就成为产品能力的一部分。微软十月七日介绍Microsoft Execution Containers（MXC），表示这一执行隔离层已正式可用。开发者可以声明工作负载需要的资源，系统在运行时限制文件、网络和界面访问；代理自身不能通过生成代码给自己增加权限。微软官方公告详细区分了不同隔离方式。

平台提供不同强度的执行边界，包括进程隔离、Windows独立会话等；微型虚拟机方案仍标为实验性。微软同时预告，Entra中的代理身份区分和部分企业管理策略将后续推出。因此，已可使用的隔离能力，不等于所有身份追踪和集中治理功能已经到位。

权限应当围绕任务资源定义

以网站维护为例，代理可能需要修改项目代码、读取部署配置，却不需要改动生产服务器设置。把这几种权限分开，可以让执行环境阻止越界操作，即使模型认为某个操作有助于完成任务。这样的约束最终取决于操作系统和隔离后端，而不是模型是否记住了提示中的限制。

企业实际部署时，难点在于找到刚好够用的权限集合。权限太宽会扩大错误影响，太窄则让正常任务不断失败。微软列出的“学习模式”会阻止并记录未授权访问，而“宽松模式”会记录但允许这类访问；两者用途不同。团队在解释试点结果时，应同时说明运行模式，否则一段成功演示无法表明权限控制已经生效。

隔离之外，还要知道谁做了什么

执行边界能够限制操作范围，却不会自动判断业务目标是否正确。拥有写入权限的代理，仍可能把错误内容写进允许访问的文件。内容校验、变更复核和恢复机制，仍应围绕业务流程安排。未来的代理身份管理若能把人和自动化工作负载区分开，则有助于在调查错误时找到具体行为来源。

我们更关注这类平台是否能让权限规则成为可测试的产品组成部分：哪些文件可以写，哪些服务可以连，任务失败时是否能说明缺少什么权限。随着代理进入日常办公，稳定的权限边界和清楚的操作记录，会直接影响组织愿意把多少工作交给它们。