Los agentes de IA ya pueden abrir archivos, lanzar herramientas y encadenar acciones por su cuenta. Microsoft quiere que esa autonomía no implique darles las llaves de todo el ordenador: Microsoft Execution Containers (MXC) ya está disponible de forma general, con políticas que delimitan qué recursos puede utilizar cada agente y un entorno que aplica esas reglas fuera del control del propio modelo.
La noticia importa porque el problema de los agentes no es solo si responden bien, sino qué pueden hacer cuando reciben permisos para actuar. Un asistente que modifica un proyecto necesita leer y escribir en su carpeta de trabajo; no debería poder tocar documentos personales o cambiar la configuración de un servidor si nadie le ha concedido ese acceso.
Permisos decididos fuera del agente
MXC es una capa de ejecución con políticas declaradas por quienes desarrollan o administran el agente. Se pueden acotar rutas de archivos, conexiones de red, procesos y acceso a la interfaz del usuario. La frontera se aplica en el entorno que ejecuta el trabajo: el modelo, el código que genera o un complemento no deberían poder ampliar por sí mismos los permisos que recibieron.
Microsoft ilustra el caso con un agente de programación. Puede tener permiso para modificar el repositorio y usar Git o las herramientas de compilación, mientras lee una configuración de producción sin poder alterarla. Si intenta salirse de ese perímetro, MXC está diseñado para bloquear la operación. No hace falta que el agente “se porte bien” para que exista ese límite.
El sistema ya había sido presentado en vista previa durante Build, en junio. El anuncio del 7 de octubre marca el paso a disponibilidad general de MXC y amplía las opciones para ejecutarlo en distintos entornos, incluido Windows 365.
No todos los contenedores aíslan igual
MXC ofrece varios niveles, y la elección tiene consecuencias prácticas. El contenedor de procesos es la opción ligera para ejecutar código generado o herramientas con baja latencia: en Windows utiliza AppContainer; en macOS, Seatbelt; y en Linux, Bubblewrap. Para un trabajo más sensible se puede elegir un aislamiento más fuerte, aunque puede limitar lo que el agente consigue hacer.
- Contenedor de sesión: disponible en Windows 11; separa la sesión, el escritorio, el portapapeles y la entrada del agente de los del usuario.
- Contenedor WSL: pensado para herramientas y flujos de desarrollo que dependen del entorno Linux de WSL en Windows.
- MicroVM: ofrece aislamiento con soporte de virtualización por hardware en Windows y Linux, pero Microsoft lo marca como experimental.
La compatibilidad también depende del tipo de contenedor: el de procesos cubre Windows 11, macOS y Linux; varias funciones, como la sesión aislada, son específicas de Windows. Por eso MXC no equivale a un interruptor universal que convierta cualquier aplicación de IA en una aplicación segura.
Los desarrolladores tienen que integrarlo
Para que el límite se aplique, el agente debe ejecutarse dentro de MXC y contar con una política adecuada. Microsoft menciona soporte actual en GitHub Copilot, OpenClaw, OpenAI Codex, Replit, LM Studio y Unsloth AI; también enumera otros productos que preparan su integración. En la práctica, cada aplicación tendrá que decidir qué permisos necesita y cómo se los solicita al usuario o al administrador.
Ese trabajo de configuración no es un detalle menor. Si la política concede acceso amplio a todo el disco o a cualquier destino de red, la jaula protege poco. Y si es demasiado restrictiva, el agente puede quedarse sin acceso a los archivos o herramientas que necesita. La opción “Learning” puede bloquear y registrar los accesos no concedidos para ajustar la política; “Permissive” los registra, pero los deja pasar, así que no debe confundirse con un modo de protección efectiva.
La llegada de MXC acompaña la apuesta de Microsoft por ejecutar más IA en el propio PC, junto a equipos como los ProArt con RTX Spark. También es un contrapunto útil a la creación de juegos con instrucciones de texto que exploran Google Playground y Unity Spark: cuanto más autónomas y accesibles se vuelven estas herramientas, más importante es acotar sus permisos.
Para el usuario, la promesa no es que un agente deje de equivocarse, sino que un error tenga menos margen para propagarse. Esa diferencia dependerá de que las aplicaciones integren MXC y de que sus permisos se configuren con cuidado; la disponibilidad general pone la pieza en manos de desarrolladores y equipos de TI, pero no hace ese trabajo por ellos.
<span class="dsq-postid" data-dsqidentifier="9048 https://bytecora.net/?p=9048">4 comentarios
Pingback: ARTEX deja de ser público tras los ataques a bancos | Bytecora
Pingback: La semana en Bytecora: noticias del 5 al 11 de octubre
Pingback: OpenAI y Anthropic ensayan el «día después» de una catástrofe de IA
Pingback: Microsoft Maia 300: chips para IA y despliegue en 2027