Microsoft anunció la disponibilidad general de Microsoft Execution Containers (MXC) el 7 de octubre de 2026. Para los equipos que ejecutan comandos propuestos por un agente de IA, la pregunta práctica es a qué archivos y conexiones de red necesita acceder el comando, y qué backend de MXC puede imponer esos límites. La publicación de lanzamiento describe el objetivo de contención; la documentación para usuarios del repositorio ofrece los detalles de configuración. Esta guía sigue esos documentos. BIG CHANGE no instaló MXC ni ejecutó ninguna carga de trabajo dentro de un entorno contenido.

El gran cambio

  • Qué cambió: Los desarrolladores pueden pasar un comando y su política de recursos a una única interfaz del SDK MXC, que selecciona un backend de host compatible. El lanzamiento del 7 de octubre convierte esta integración documentada en una opción para herramientas de agentes, en lugar de confiar en que un modelo obedezca voluntariamente una política.
  • Por qué importa: Un equipo puede permitir que un comando de programación acceda a su directorio de trabajo y, al mismo tiempo, dejar fuera de su alcance otros archivos y conexiones salientes. El resultado depende del backend y del host elegidos, así que el equipo debe comprobar la aplicación efectiva del backend antes de confiar en una restricción.
  • Qué conviene observar: Los modos de configuración de políticas de Microsoft ayudan a diagnosticar operaciones bloqueadas en hosts Windows ProcessContainer compatibles. La siguiente decisión práctica es si cada permiso propuesto resulta necesario y si, una vez ajustada la política, la ejecución de producción usa el modo de aplicación.

Empieza por el host y el comando

MXC es una biblioteca integrada en la aplicación que inicia la carga de trabajo. Su archivo README enumera los SDK de Rust, .NET y Node, además de ejecutables nativos para aplicaciones que no pueden integrar un SDK. El paquete de Node incluye recursos nativos de tiempo de ejecución y requiere Node.js 24 o posterior; en Windows, el repositorio especifica Node 24.21.0 o posterior, o 26.8.0 o posterior, para la transferencia nativa por stdio. La API pública se importa desde @microsoft/mxc-sdk/v1, no desde la raíz del paquete. El paquete de .NET también incluye recursos nativos. La biblioteca de Rust compila el SDK, el motor y los backends elegidos dentro de la aplicación que la consume. Los ejecutables nativos requieren una compilación del repositorio para la plataforma correspondiente.

Elige el backend antes de redactar una política. El repositorio indica que processcontainer es el predeterminado en Windows 11, bubblewrap es el predeterminado en Linux y seatbelt es el predeterminado en macOS. Windows también ofrece wslc y isolation_session; windows_sandbox, microvm y hyperlight figuran como experimentales. Linux requiere el entorno de ejecución seleccionado, como Bubblewrap para su backend predeterminado. La tabla de versiones de Windows indica las compilaciones mínimas para ProcessContainer e IsolationSession. Hay que validar en la máquina que ejecutará el trabajo tanto la disponibilidad del host como la compatibilidad con la política solicitada.

Anota el comando concreto, el directorio de trabajo, los archivos que debe leer, los que debe modificar y los destinos de red que necesita. Trata esos datos como entradas de política proporcionadas por la aplicación o por el operador. Microsoft afirma que la política se sitúa fuera de la carga de trabajo del agente, de modo que el código generado no puede ampliar sus propios permisos. La salida prevista del comando incluye stdout, stderr y el código de salida habituales, además de advertencias o metadatos opcionales del SDK. Solo se ofrece un informe de actividad en los modos de diagnóstico documentados y en hosts Windows ProcessContainer compatibles.

Declara una política pequeña con el SDK de Node

La guía del SDK de Node documenta esta estructura V1. Instala el SDK en una aplicación que use una versión de Node compatible:

Terminal
npm install @microsoft/mxc-sdk

Este ejemplo adapta la muestra de ejecución hasta completar de Microsoft y solicita acceso de solo lectura al directorio actual de la aplicación, a la vez que deniega las conexiones salientes. El comando solo imprime una línea, así que no prueba ninguna de las dos restricciones. Es un punto de partida documentado, no una prueba de BIG CHANGE. Sustituye el comando y las rutas por la carga de trabajo que quieras contener; usa readwritePaths únicamente para los directorios que deba modificar.

TypeScript
import { getPlatformSupport, run } from '@microsoft/mxc-sdk/v1';
import type { ContainerRequest } from '@microsoft/mxc-sdk/v1';

if (!getPlatformSupport().isSupported) {
  throw new Error('MXC is not available on this host');
}

const request: ContainerRequest = {
  command: 'node -e "console.log(\'hello from container\')"',
  filesystem: { readonlyPaths: [process.cwd()] },
  network: { egress: { default: 'deny' } },
  timeoutMs: 30_000,
};

const result = await run(request);
console.log(result.stdout, result.stderr, result.exitCode, result.warnings);

run devuelve stdout y stderr capturados, el código de salida, el estado de tiempo agotado y las advertencias. Para la carga de trabajo, un acceso a archivos bloqueado puede parecer un error corriente de acceso denegado; una salida correcta no demuestra por sí sola que se hayan probado todas las restricciones previstas. Para cumplir el criterio de éxito del encargo, ejecuta una carga de trabajo de confianza que use un recurso permitido y, por separado, una prueba deliberada de acceso a un recurso sin permiso en el backend compatible elegido. Comprueba la operación y los diagnósticos antes de aplicar la política a comandos generados por agentes. Las muestras del SDK incluyen permisos de archivos, bloqueo de red, captura de salida y registro de denegaciones. Requieren un host preparado. BIG CHANGE no ejecutó ninguno de esos pasos.

Para quienes usan el ejecutor nativo, el esquema JSON estable es 1.0.0, y una solicitud completa necesita un version, una selección de contención y process.commandLine. El esquema de desarrollo actual es 1.1.0-alpha. El SDK V1 elige por sí mismo el contrato de transmisión, así que no incluyas una versión del esquema nativo en el ContainerRequest. La guía del esquema también indica que campos antiguos como network.defaultPolicy y allowedHosts ya están retirados. La política actual usa network.egress y network.ingress; las reglas directas y un proxy de tiempo de ejecución se comportan de forma distinta y tienen diferente compatibilidad entre backends.

Diagnostica las denegaciones y luego aplica la política

La tabla de modos del 7 de octubre de Microsoft distingue tres resultados. El modo de aplicación bloquea el acceso no concedido y no produce un informe de actividad. El modo de aprendizaje bloquea el acceso y registra los intentos no concedidos. El modo permisivo registra el acceso que la política habría denegado, pero permite que continúe. La referencia para capturar denegaciones de Microsoft limita esas funciones de aprendizaje a las rutas ProcessContainer basadas en AppContainer de Windows. Otros hosts no obtienen informes equivalentes solo por aceptar un campo de política común.

Para una herramienta de confianza durante la configuración de políticas, el ejecutor nativo de Windows admite un flujo --audit que puede generar artefactos de política. Microsoft advierte que desactiva la seguridad del entorno aislado para la carga de trabajo analizada, por lo que no es apto para comandos no confiables. Una captura que deniega y registra es una vía de diagnóstico más segura cuando el host la admite: el acceso intentado sigue bloqueado y el informe señala qué se denegó. Revisa cada ruta o capacidad registrada frente a la tarea, concede solo lo que el comando necesita y ejecuta la carga de trabajo final en modo de aplicación. Los informes pueden revelar nombres de recursos confidenciales; trátalos con el cuidado correspondiente.

La elección del backend determina qué garantías puede ofrecer la política. La guía del esquema indica que isolation_session no puede restringir la red y requiere una configuración de red explícitamente no restringida. También indica que Windows ProcessContainer y macOS Seatbelt aplican las restricciones de interfaz; otros backends no las implementan, y WSLC e IsolationSession rechazan las políticas de interfaz suministradas. La guía de Seatbelt explica que el perfil nativo de macOS no puede filtrar hosts remotos concretos, y la guía de Bubblewrap describe los requisitos de red y del entorno de ejecución en Linux. Por tanto, que un campo JSON sea aceptado por varios tipos de SDK no demuestra que se aplique igual en todos ellos. Comprueba la guía del backend elegido y valida la solicitud en el host de destino.

El repositorio de Microsoft tiene licencia MIT, pero la documentación para usuarios no indica un precio del paquete MXC. El host, la computación y cualquier proveedor de modelos tienen sus propios costes. El anuncio de Windows califica MXC como disponible de forma general, mientras que varias opciones de backend siguen siendo experimentales y el esquema nativo de desarrollo está en fase alfa. Ten en cuenta por separado esas etapas de lanzamiento al decidir dónde ejecutar una carga de trabajo.

Fuentes y lecturas adicionales