Microsoft Execution Containers: Wie Windows KI-Agenten jetzt in einen Käfig sperrt

• Microsoft Execution Containers (MXC) sind laut Microsoft allgemein verfügbar und kapseln KI-Agenten, Plugins und von KI erzeugten Code in einer vom Betriebssystem durchgesetzten Umgebung.
• Eine Richtlinie außerhalb des Agenten legt fest, welche Dateien, Netzwerkziele, Prozesse und Bedienoberflächen der Agent nutzen darf, der Agent kann sich keine weiteren Rechte geben.
• Unterstützt werden unter anderem GitHub Copilot, OpenAI Codex, Replit und LM Studio, angekündigt sind weitere Agenten wie Claude Code von Anthropic und Perplexity.
• Die zentrale Steuerung über Intune, Microsoft Entra und Microsoft Agent 365 hat Microsoft angekündigt, aber noch ohne Termin.
• IT-Abteilungen sollten jetzt erfassen, welche lokalen KI-Agenten im Einsatz sind, und bei der Auswahl darauf achten, ob ein Agent MXC unterstützt.

Microsoft Execution Containers (MXC) sind eine neue Sicherheitsschicht in Windows für Software, der man nicht blind vertrauen kann: KI-Agenten, ihre Plugins und Werkzeuge sowie Code, den eine KI selbst erzeugt und ausführt. Microsoft hat MXC am 7. Oktober 2026 im Windows Developer Blog als allgemein verfügbar vorgestellt und im November-Überblick des Microsoft Security Blogs noch einmal als Baustein für die Absicherung von KI-Agenten eingeordnet.

Das Prinzip: Entwickler und IT legen in einer Richtlinie fest, welche Ressourcen ein Agent nutzen darf, zum Beispiel bestimmte Ordner oder Netzwerkziele. MXC setzt diese Grenze zur Laufzeit mit einem passenden Container durch. Entscheidend ist, dass die Richtlinie außerhalb der Kontrolle des Agenten liegt. Ein Agent kann sich also nicht selbst mehr Rechte geben, auch wenn er durch eine manipulierte Eingabe dazu gebracht wird.

Lokale KI-Agenten arbeiten heute meist mit den vollen Rechten des angemeldeten Benutzers. Ein Coding-Agent, der ein Skript schreibt und ausführt, kann damit grundsätzlich auf alle Dateien zugreifen, die der Benutzer sieht, und Verbindungen ins Internet aufbauen. Gelangt über eine Webseite, ein Dokument oder einen angebundenen MCP-Server eine versteckte Anweisung in den Agenten, handelt er womöglich gegen die Interessen des Unternehmens, ohne dass ein Angreifer im Netz ist.

Bisher blieb der IT nur, solche Werkzeuge zu verbieten oder zu vertrauen. MXC schafft einen dritten Weg: Agenten erlauben, aber nach dem Prinzip der geringsten Rechte. Laut Microsoft gilt das für Dateisystem, Netzwerk, Prozesse und Benutzeroberfläche, mit stärkerer Isolation für riskantere Szenarien.

Laut Microsoft beschreibt eine einheitliche Richtlinie im JSON-Format, was der Agent darf. MXC wählt dazu eine von mehreren Isolationsarten:

• Prozess-Container: Windows 11, macOS und Linux, für schnelle Aufgaben mit geringer Verzögerung
• Sitzungs-Container: nur Windows 11, eigenes Windows-Konto und eigene Sitzung mit eigener Agenten-Identität sowie getrenntem Desktop, Zwischenablage und Eingabe
• WSL-Container: nur Windows 11, Linux-Umgebung über das Windows-Subsystem für Linux
• MicroVM: hardwaregestützte virtuelle Grenze, derzeit experimentell

Für die Einführung kennt MXC drei Betriebsarten: Permissive erlaubt alles und protokolliert, was die Richtlinie nicht abdeckt, Learning blockiert und protokolliert, Enforcement blockiert im Produktivbetrieb. So lassen sich Richtlinien erst beobachten und dann scharf schalten. Auch Windows 365 unterstützt MXC laut Microsoft bereits, Agenten können also in einem Cloud PC laufen.

Laut Microsoft unterstützen bereits GitHub Copilot, OpenAI Codex, Replit, LM Studio, Unsloth AI und OpenClaw die Container, NVIDIA hat OpenShell integriert. Angekündigt, aber ohne Termin, sind unter anderem Claude Code von Anthropic, Perplexity, Manus, Box, Egnyte und Raycast. Die Unterstützung muss der Hersteller des Agenten über das MXC SDK einbauen, die Einschränkung entsteht also nicht automatisch für jedes Programm.

Ehrlich eingeordnet: Die Technik ist da, die zentrale Verwaltung noch nicht.

• Intune: Richtlinien für MXC-Prozess-Container unter Windows 11 sollen laut Microsoft „bald“ kommen, ohne Datum.
• Microsoft Entra: Windows soll Entra künftig unterscheiden lassen, ob eine Aktion von einem Agenten oder vom Benutzer kommt. Auch dafür gibt es noch keinen Termin.
• Microsoft Agent 365: Die Steuerung soll auf lokale Agenten auf dem Gerät ausgeweitet werden, ebenfalls ohne Termin.
• Lizenz und Windows-Edition: Dazu macht Microsoft in der Ankündigung keine Angaben.

Bis dahin hängt der Schutz davon ab, dass der Agent MXC nutzt und die Richtlinie sinnvoll gesetzt ist.

1. Bestand erfassen: Welche lokalen KI-Agenten laufen auf Firmengeräten? Microsoft Defender erkennt laut Microsoft inzwischen mehr als 50 lokale KI-Agenten und ihre MCP-Server. Mehr dazu in unserem Beitrag Schatten KI erkennen.
2. Auswahlkriterium festlegen: Bei neuen KI-Werkzeugen fragen, ob sie MXC unterstützen und welche Richtlinie sie mitbringen.
3. Richtlinien vorbereiten: Festlegen, welche Ordner, Netzwerkziele und Programme ein Agent wirklich braucht, und neue Agenten zunächst im Modus Learning testen.
4. Steuerung planen: Die angekündigte Verwaltung über Intune, Entra und Microsoft Agent 365 im Blick behalten.

Die InSys AG^® berät Unternehmen beim sicheren Einsatz von KI und ist Microsoft Solutions Partner für Security und für KI-Geschäftslösungen. Wir erfassen, welche KI-Agenten bei Ihnen im Einsatz sind, entwickeln Regeln für ihren Einsatz und sichern eigene Schnittstellen wie MCP Server ab. Mehr zu unserer KI-Beratung finden Sie in unserer Business Unit.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular am Ende dieser Seite.