Microsoft Execution Containers（MXC）とは、AIエージェントが実行するプログラムやツール呼び出しの権限を、OSが直接ポリシーに基づいて制限する実行時隔離基盤です。

パソコン上で自律して動くAIアシスタントを動かすとき、意図しないファイル削除や機密データの外部送信が起きないか不安になりませんか。作業を自動化させたい気持ちと、システムを壊されたくない警戒感は常にせめぎ合います。

米Microsoftは2026年6月の開発者会議「Build 2026」でプレビュー公開したのち、2026年10月7日にWindows 11向けとして一般提供を開始しました。OpenAIのCodex実行環境でも即座に採用されるなど、開発現場の標準装備になりつつあります。本記事では、MXCの動作原理、設定の書き方、導入時の勘所を整理してお伝えします。

なぜ今AIエージェントに専用の隔離環境が必要なのか？

なぜ今AIエージェントに専用の隔離環境が必要なのか？

AIエージェントは指示を受けると、自らスクリプトを生成してパソコンのターミナルで実行します。

従来の対話型チャットであれば、画面にテキストが返ってくるだけでした。テキストを読む人間が安全性を確かめてから手作業でコピペすれば、システムが壊れる心配はありません。

現在普及している自律型AIは、自らシェルを開き、外部APIを叩き、ローカルファイルを書き換えます。プログラムが暴走したり、悪意あるプロンプトが混入したりした場合、ホストOS全体に被害が及びます。

OSの一般権限をそのまま渡してエージェントを動かす運用は、極めて危険です。危険な振る舞いを水際で止める仕組みが求められていました。

従来のサンドボックスとMXCは何が違う？

従来のサンドボックスとMXCは何が違う？

従来のコンテナ技術や仮想マシンと比べ、MXCは「起動速度」と「ファイルアクセスのきめ細かさ」を両立しています。

Dockerや通常の仮想マシン（VM）は、安全性を確保できるものの起動に数秒から数十秒の待機時間が発生します。さらに、作業ディレクトリだけを共有する設定が煩雑で、開発体験を損ねがちでした。一方のプロセス分離は高速ですが、ネットワーク遮断の粒度が荒い弱点があります。

MXCはWindows 11のカーネル機能およびHyper-V分離技術を柔軟に使い分けます。ミリ秒単位で立ち上がり、指定したフォルダ以外は完全に見えなくする制御が可能です。

以下の表は、各分離方式の特性を比較したものです。

項目従来の仮想マシン（VM）汎用DockerコンテナMicrosoft Execution Containers（MXC）
起動オーバーヘッド数秒〜十数秒（重い）1〜3秒程度数ミリ秒〜数十ミリ秒（極めて高速）
ファイル制御の粒度仮想ディスク単位が中心ボリュームマウント単位パス指定・読み書き個別制御（細粒度）
ネットワーク制御仮想NIC全体でオン/オフポートフォワーディング依存ドメイン単位・アウトバウンド厳格制御
ポリシー定義ハイパーバイザ設定Dockerfile / Compose統一JSONスキーマ
ホストリソース消費大きい中程度最小限（OSネイティブ統合）

軽量さと堅牢さを高次元で両立させた点が、MXCの際立った強みです。

Windows 11で動くMXCの内部アーキテクチャ

MXCは、Windows 11およびWindows Subsystem for Linux（WSL）のシステム内部に常駐するポリシー実行レイヤーです。

AIエージェントの本体すべてを隔離する使い方はもちろん、エージェントが呼び出す「プラグイン」や「動的生成されたコード」だけを部分的に閉じ込める設計が採られています。

アーキテクチャは主に3つの層から成り立ちます。

  • ポリシー定義層: 開発者やシステム管理者が許可リストをJSONで記述する層
  • オーケストレーションSDK: Node.jsやRustからプロセスを安全に起動・破棄する制御ライブラリ
  • OSバックエンド隔離層: WindowsネイティブのプロセスサンドボックスやHyper-V軽量コンテナで構成される実行基盤

エージェントがファイルを開こうとすると、OSカーネルがMXCのポリシーと照合します。定義にないパスへのアクセス要求は、OSレベルで拒絶されます。

プログラム側にバグがあっても、OSが強制終了させるため安全です。

今週のAIニュースを週1回メールで受け取る無料

毎週月曜の朝に、今週のAIの主なニュース・新しく載ったツール・よく読まれた記事をまとめて届けます。登録特典は「AIツール選定チェックリスト 2026」。

確認メールのボタンを押すと登録が完了します。配信はいつでも解除できます。

開発者が設定するJSONポリシーの基本構造

MXCの挙動は、JSON形式の設定ファイルでシンプルに宣言します。

複雑なインフラコードを書く必要はありません。許可したいローカルディレクトリのパスと、通信を認めるホスト名をホワイトリスト形式で列挙するだけです。

典型的なポリシーの例を示します。

{
  "$schema": "https://json.microsoft.com/mxc/v1/schema.json",
  "name": "coding-assistant-sandbox",
  "filesystem": {
    "readOnly": [
      "C:\\Projects\\my-app\\node_modules",
      "C:\\Projects\\my-app\\package.json"
    ],
    "readWrite": [
      "C:\\Projects\\my-app\\src",
      "C:\\Projects\\my-app\\dist"
    ],
    "deny": [
      "C:\\Users\\*",
      "C:\\Windows\\*"
    ]
  },
  "network": {
    "allowOutbound": [
      "registry.npmjs.org",
      "api.github.com"
    ],
    "denyAllOther": true
  },
  "resources": {
    "maxMemoryMB": 2048,
    "maxCpuPercent": 50
  }
}

この設定を適用すると、AIエージェントは指定されたプロジェクトフォルダ以外を読み取れません。デスクトップにある個人ファイルやブラウザのCookie保存領域に手を伸ばしても、即座にアクセス権エラーで弾かれます。

社外の怪しいサーバーへのデータ送信も、ネットワークルールによって防げます。

TypeScriptとNode.jsを使ったMXC SDKの実装手順

MXCは公式のSDKを提供しており、数行のコードでアプリケーションへ組み込めます。

対応言語はTypeScript（Node.js）、Rust、.NETの3系統です。ここでは、広く使われているTypeScript環境での最小実装例を取り上げます。

パッケージの導入から実行までの流れを整理しました。

import { ExecutionContainer, Policy } from "@microsoft/mxc";

async function runUntrustedTask() {
  // ポリシーの読み込み
  const policy = await Policy.fromFile("./mxc-policy.json");

  // 隔離コンテナの生成
  const container = await ExecutionContainer.create({
    policy,
    workingDirectory: "C:\\Projects\\my-app",
  });

  // AIが生成したコードを隔離環境内で安全に実行
  const result = await container.execute({
    command: "npm",
    args: ["test"],
    timeoutMs: 30000,
  });

  console.log("実行結果:", result.stdout);

  // コンテナの破棄とリソース開放
  await container.dispose();
}

runUntrustedTask();

エージェント開発フレームワークの中で外部ツールを叩く直前にコンテナを挟むだけで、安全な実行パイプラインが完成します。

実行完了後のクリーンアップ処理も自動化されており、ゾンビプロセスが残る心配もありません。

プロンプトの組み立て方自体に課題を感じている方は、コンテキストエンジニアリングとは？プロンプトとの違いと5つの実践テクニックを併せて読むと、指示精度とセキュリティの双方を底上げできます。

企業IT管理者が押さえるべきグループポリシー連携

個人の開発端末だけでなく、社内PC全体へ一括適用できる点もMXCの特徴です。

情報システム部門は、Active DirectoryやMicrosoft Intuneを通じて、組織統一のMXCポリシーをWindows 11端末へ配布できます。

現場の開発者が独自のポリシーを緩和しようとしても、管理者が指定した「上位組織ポリシー」が優先されます。

適用レベル設定主体適用範囲主な制御項目
組織ルートポリシー情報システム部・セキュリティ統括全社端末（Intune経由）社内基幹網へのアクセス制限、Cドライブ直下の保護
プロジェクトポリシー開発チームリーダー配布リポジトリ単位該当PJのソースフォルダの読み書き許可
ローカル実行設定開発者個人（SDK呼出時）単一スクリプト実行時一時出力フォルダの指定、実行タイムアウト秒数

開発者の利便性を削ぐことなく、社内セキュリティ基準をクリアできる枠組みが整っています。

業務全体の自動化を見直したい場合は、Power Automate代替ツール7選無料・日本語・OSSで選ぶ2026年版も参考になります。

LinuxおよびmacOSでのクロスプラットフォーム対応

MXCはWindows 11専用の機能にとどまりません。

GitHubで公開されているオープンソースプロジェクト「microsoft/mxc」により、LinuxおよびmacOS環境でも共通のSDKとJSONポリシーが動作します。

OSごとの隔離バックエンドの違いをSDKが抽象化してくれる設計です。

  • Windows 11: カーネル組み込みサンドボックスまたはHyper-V軽量コンテナ
  • WSL（Linux）: cgroups v2およびseccomp、ランドロックを活用したカーネル隔離
  • macOS: AppleのEndpoint SecurityおよびSandboxプロファイルへの変換実行

チーム内にMacユーザーとWindowsユーザーが混在していても、同一のセキュリティポリシーを共有できます。CI/CDパイプライン上でエージェントを走らせる際にも、同一のコードベースをそのまま活かせます。

AIエージェント開発におけるMXCの活用シナリオ

MXCの導入効果が顕著に現れる領域は、自律的にコードを生成・テストするソフトウェア開発アシスタントです。

実際にOpenAIは、Windows版CodexのサンドボックスバックエンドとしてMXCを採用しました。ネットワーク制限の強化と設定の高速化を同時に達成しています。

具体的な利用シナリオを整理します。

  1. ローカルコーディング支援: AIがプロジェクト内のバグを自動修正し、その場でユニットテストを実行する
  2. 自動リサーチ・データ収集: ウェブ上のドキュメントを巡回し、指定フォルダにのみレポートを保存する
  3. 未検証プラグインの安全実行: コミュニティ製のサードパーティ拡張機能を隔離環境で試行する
  4. 社内データ分析の自動化: 機密データベースへのアクセス経路を絞った状態で統計スクリプトを回す

AIにキーボードとマウスを預ける感覚から、安全弁の付いた作業ブースへAIを案内する感覚へと運用の前提が変わります。

社内の自動化基盤をより深く学びたい方は、Microsoft Learnの使い方｜0円でAzureとAI資格を狙う学習手順 (2026年版)をチェックしてみてください。

MXCを導入する際の注意点と制限事項

優れた隔離性能を持つMXCですが、万能の特効薬ではありません。

設計段階で把握しておくべき注意点が存在します。

まず、Windows 11の対応ビルド番号です。一般提供版のMXCをフル機能で動作させるには、最新の機能更新プログラムが適用されたWindows 11環境が前提となります。

古いWindows 10環境や、仮想化支援機能（VT-x/AMD-V）が無効化されたPCでは、Hyper-V分離バックエンドが起動しません。

また、過度に厳しいネットワーク制限を課すと、AIエージェントが必要な依存パッケージをダウンロードできなくなります。ホワイトリストの作成には試行錯誤が伴います。

システムのセンシングや高度なモニタリングを組み合わせる場合は、Microsoft Project Perception代替8選無料・OSSで組む選び方 (2026年版)のアーキテクチャ設計も視野に入れると堅牢性が高まります。

よくあるトラブルと設定の見直しポイント

MXCを導入した初期によく直面するエラーと、その対処法をまとめました。

原因の多くは、パス記述のミスかポート番号の競合にあります。

次の表で症状と原因を確認してください。

エラー症状主な原因推奨される修正手順
ファイル読み込み拒否 (EACCES)ポリシーのパス指定ミス・ワイルドカード不一致JSONのパス指定を絶対パスに修正し、区切り文字を再確認する
DNS解決失敗・通信タイムアウトアウトバウンド許可リストのドメイン漏れ通信先ホスト名をallowOutboundへ明示的に追加する
起動時Hyper-V初期化エラーBIOSの仮想化支援が無効、またはメモリ不足PC再起動時にBIOS設定で仮想化を有効化し、割当メモリを見直す
WSL上でポリシーが無視されるWSLカーネルのバージョン不足wsl --updateを実行し、最新のカーネルパッケージを適用する

エラーメッセージはコンソール上に明確なコードとして返ってくるため、トラブルシューティングは比較的容易です。

社内での本格導入を検討しており、外部の伴走サポートが必要な場合は、VEXUM（ヴェクサム）とは？AI常駐支援の中身と選び方（2026年版）を検討材料に加えてみてください。

AI PICKS編集部の判定

自律型AIエージェントを実務に組み込むなら、Microsoft Execution Containersは一択の基盤です。

これまで開発者が抱えていた「AIにシェル権限を渡す恐怖」を、OSレイヤーでスマートに解消しました。重たい仮想マシンを何台も立ち上げる必要がなく、数ミリ秒でセキュアな作業区画を用意できる体験は圧倒的です。

正直イマイチな点を挙げるなら、初期のJSONポリシー設計に一定のネットワーク知識が求められるところです。しかし、一度テンプレートを固めてしまえば開発チーム全体で使い回せます。

Windows 11を主軸に置くオフィス環境において、これほど手軽にエージェントの暴走を防げる仕組みは他にありません。無償で使える点も含め、極めて完成度の高い防御壁です。

よくある質問（FAQ）

Q. Microsoft Execution Containersの利用に追加料金は発生しますか？

追加料金は発生しません。Windows 11のOS機能およびオープンソースのSDKとして提供されているため、正規のWindows環境と開発環境があれば誰でも無償で利用できます。

Q. Windows 10でもMXCは動作しますか？

Windows 10ではOSネイティブ統合の全機能を利用できません。Windows 11または最新のWSL環境へのアップデートが必要です。MacやLinux上では、オープンソースのMXC SDK経由でプラットフォーム固有の分離機能を利用する形となります。

Q. Dockerコンテナの代わりとして完全に置き換えられますか？

用途が異なります。Webアプリケーションのパッケージングや本番デプロイには引き続きDockerが適しています。MXCは、AIエージェントがその場で生み出す一時的なコードやツールの実行を、瞬時に隔離するための仕組みです。

Q. OpenAI Codex以外のAIモデルやツールでも使えますか？

問題なく使えます。MXCはモデル非依存の基盤です。AnthropicのClaudeシリーズやGoogleのGemini、ローカルで動かすオープンソースLLMを用いた自作エージェントなど、あらゆるAIフレームワークから呼び出せます。

Q. 設定ポリシーをAIエージェント自身に書き換えられるリスクはありませんか？

書き換えられません。ポリシー設定ファイルが格納されたディレクトリをコンテナの読み取り専用、またはアクセス拒否領域に設定することで、エージェント側からの改変を防ぎます。

Q. インターネット接続がない完全オフライン環境でも動作しますか？

完全に動作します。MXCの分離判定はすべてローカルPCのOS内部で完結するため、外部サーバーとの通信は一切不要です。機密データを扱うエアギャップ環境でも重宝します。

あわせて見たいツール・カテゴリ

AIエージェントの導入やセキュリティ対策を深めたい方は、以下のカテゴリや関連ツールもご覧ください。

安全な基盤を整えた後は、AIへの指示そのものの精度を高める段階に入ります。次に読むなら、AIの思考枠組みを構造化する実践知が詰まったコンテキストエンジニアリングとは？プロンプトとの違いと5つの実践テクニックをおすすめします。

参考にした一次情報

記事の事実関係は、次の公式ページで確認しています。仕様や料金は変わることがあるため、最新の内容は各ページで確かめてください。