【備忘録】Windows が「AIエージェントのプラットフォーム」を目指す話を整理する ― MXC・Get Started・ハイブリッド知能

Last updated at 2026-10-27Posted at 2026-10-27

はじめに

2026年10月7日に開催された Microsoft の Windows / Surface イベントで、Microsoft は Windows を 「AI エージェントにとって最も安全なプラットフォーム」 と位置づけ、OS レベルで安全な実行・識別・管理を支える方向性を打ち出しました。Engadget のまとめ記事でも、イベントは意外なほど開発者向けの内容が多く、エージェントを手軽に動かし始めるための 「Get Started」 の仕組みにも触れられています。

本記事では、この発表を「Windows が AI エージェントの土台（プラットフォーム）になろうとしている」という流れで捉え、主要な要素を整理してみます。

※本記事は個人の整理メモです。2026年10月25日時点の公開情報をもとにしており、実機での動作検証は行っていません。機能名・提供範囲・提供時期は今後変わる可能性があるため、正確な情報は記事末尾の公式情報を確認してください。

発表の全体像：OS が「エージェントの実行基盤」になる

これまで AI エージェントは、IDE や CLI、ブラウザといった「アプリの中」で動くものという印象が強かったと思います。今回の発表は、それを OS のレイヤーで受け止める 方向に寄せたものと整理できそうです。

大きく分けると、次の4つの柱で捉えると理解しやすいです。

柱	内容
安全性	Microsoft Execution Containers（MXC）でエージェントを閉じ込めて実行。MXC は Windows 11 向けに GA
導入のしやすさ	「Get Started」でエージェントを手軽に始められるようにする（発表済み）
ハイブリッド知能	ローカルとクラウドの AI をタスクごとに使い分ける
エコシステム	Codex、GitHub Copilot などが MXC に対応。Claude Code なども対応予定

👉 「エージェントを Windows 上で、安全に・簡単に・コスト効率よく動かす」ための土台づくり、と捉えると全体がつながります。

「最も安全なプラットフォーム」とは何を指しているのか

「安全」という言葉は幅が広いので、Microsoft の説明を分解してみると、次の3つの観点に整理できます。Microsoft の公式ブログでは、これらを Containment（封じ込め）/ Identity（ID）/ Manageability（管理性） と呼んでいます。図1では、初心者にも分かりやすいように「制御する / 識別する / 統治する」と意訳しています。

制御する（Containment）: エージェントがどのファイル・ネットワークにアクセスできるかをポリシーで決め、その範囲に閉じ込める
識別する（Identity）: どのエージェントが操作したのかを、人の操作と区別して把握できるようにする
統治する（Manageability）: 組織として多数のエージェントをまとめて管理する（Intune や Agent 365 との連携など）

エージェントは「ユーザーの代わりに操作する」存在なので、人間のユーザーと同じ権限で何でもできてしまうと、誤動作やプロンプトインジェクションの影響範囲が大きくなります。そこで 「閉じ込める」「誰か分かる」「まとめて管理できる」 の3点をOS側で用意する、という考え方のようです。

👉 なお、3つのうち現時点で具体的に使えるのは主に「制御」の部分で、「識別」「統治」は近日提供とされています（後述）。

中核となる Microsoft Execution Containers（MXC）

安全性の中心にあるのが Microsoft Execution Containers（MXC） です。2026年10月7日に Windows 11 向けの一般提供（GA）が発表されました。SDK は GitHub（microsoft/mxc）で MIT ライセンスのオープンソースとして公開されています。

MXCは、AIモデルそのものやエージェント作成ツールではなく、エージェントなどのワークロードを制限された環境で動かすための仕組みです。

ただし、「MXC が GA になった」ことと「どの Windows 11 でもすべての機能が使える」ことは別の話です。MXC は複数のバックエンド（後述）で構成されていて、バックエンドごとに必要な OS ビルドや更新プログラムが異なります。たとえば Windows 11 のプロセス分離・セッション分離は、24H2 以降であることに加えて、2026年8〜9月以降の累積更新を適用したビルドが必要とされています。使いたい方式ごとに、リポジトリの OS バージョン対応表を確認するのが確実です。

統一された JSON ポリシー

MXC では、エージェント（MXC のコンテナ内で動かすワークロード）に許可する操作を 統一スキーマの JSON で記述します。対象になるのは次のような操作です。

ファイルの読み書き
ネットワーク接続
起動するプロセス（コマンド・引数・環境）
デスクトップ（クリップボードや画面表示など）への操作

ここでいう「プロセス」は、アプリが MXC を通して起動するワークロードのことです。OS 上のあらゆるプロセスの起動を同じ方式で制御する、という意味ではない点に注意が必要です。

ポリシーは実行時に強制されるため、エージェント側の「お行儀」に頼らずに範囲を絞れるのがポイントだと理解しています。

複数のコンテナ方式（バックエンド）

同じポリシーを、複数の隔離方式で動かせるようになっています。Microsoft の発表で紹介されている主な方式は次のとおりです。

方式	対応OS	メモ
プロセスコンテナ	Windows 11 / macOS / Linux	Windows は AppContainer、Linux は Bubblewrap、macOS は Seatbelt と、OSごとに別の仕組みで実現。Windows 11 の既定方式
セッションコンテナ	Windows 11	別の OS セッションで動かし、デスクトップ・クリップボード・入力を分離
WSL コンテナ	Windows 11	WSL ベース
microVM	Windows 11 / Linux	Windows では実験的（experimental）

このほか、リポジトリには Windows Sandbox や Hyperlight（いずれも Windows では実験的）、Linux の LXC などのバックエンドも並んでいます。

SDK（Rust / .NET / Node.js。2026年10月25日時点で確認したタグは v1.0.1）がこれらの違いを吸収する形です。ただし、ホストのフィルタリングなど一部の機能は バックエンドによって効き方が異なる とされているので、「ポリシーが同じ = 防御力が同じ」ではない点は押さえておきたいところです。

動作モード：いきなり絞らず、観察してから絞る

個人的に実務的だと感じたのが、動作モードが用意されている点です。

モード	挙動	用途
Enforcement	ポリシー外の操作を遮断	本番運用
Learning	遮断しつつ、記録をレポートに残す	ポリシーの調整
Permissive	MXC ポリシーで拒否されるアクセスも許可し、記録する	信頼できるツールが何を必要とするかの調査

いきなり最小権限のポリシーを書くのは難しいので、たとえば 信頼できるツールは Permissive で観察し、必要な権限を洗い出す → Learning で遮断を伴う確認 → Enforcement で本番運用 といった使い方が考えられます。これは決まった手順ではなく一つの利用例で、信頼性を判断できない対象は最初から Learning を使うなど、対象に合わせて選ぶ必要があります。Windows では、wxc-exec --audit で記録したアクセスから、ポリシーの修正案（Adjusted_*.json）を生成する仕組みも用意されています。

Permissive（--audit による監査モード）では、MXC のポリシーで本来拒否されるアクセスも許可され、実質的に対象ワークロードの MXC サンドボックスによる保護が効かない状態になります。公式リポジトリでも「信頼できないコードには絶対に使わないこと」と警告されています。AI エージェントのように何をするか読み切れないものを調べるときは、遮断しつつ記録する Learning モードを使う方が安全です。

なお、OS 自体や組織で設定している他のセキュリティ機能まで無効になるわけではありません。また、Learning 系の機能は Windows の ProcessContainer バックエンド限定です。

👉 「試す → 気づく → 絞る」をツールとして回せるようになっている、と捉えると分かりやすいです。

「Get Started」ツール：導入のハードルを下げる

安全な実行基盤があっても、エージェントを動かし始めるまでの手間が大きいと使われません。そこで発表されたのが、Windows でエージェントを始めるための新しい 「Get Started」 の体験です。

Microsoft の公式ニュースページ（Windows and Surface October 2026 news）では、「New Get Started experience for agents on Windows」として画面イメージとデモ動画が公開されています。画面には Hermes、OpenClaw、Perplexity などのエージェントが並んでおり、Windows 上で使いたいエージェントを選んで始められる入口、というイメージのようです。

一方で、提供開始の時期や対象となる環境（エディション・必要なビルドなど）は、2026年10月25日時点では確認できていません。本記事では「発表済み」として扱い、「提供済み」とはしていません。

また、Microsoft Learn に「Get started with Agent Launchers」というページがありますが、こちらはアプリがエージェントを登録するための開発者向けの仕組み（Agent Launchers）の解説で、今回の「Get Started」とは別の機能なので注意してください。

全体の流れから考えると、

MXC で「安全に動かす」仕組みを用意し
Get Started で「始めるまで」を短くする

という 安全性と手軽さのセット として出してきた、と整理するのが自然だと思います。

ハイブリッド知能とエコシステム

ローカルとクラウドの使い分け

Microsoft は今回、「ハイブリッド知能（hybrid intelligence）」 というキーワードも打ち出しています。タスクに応じて、ローカル（PC 上）のモデルとクラウドのモデルを使い分けるという考え方です。

ローカル: 手元のデータを扱う処理、応答速度やコストを重視する処理
クラウド: より大きなモデルが必要な処理

開発者向けの具体例が GitHub Copilot の HydraFusion です。HydraFusion は、GitHub Copilot CLI から提供が始まり、その後 VS Code や GitHub Copilot アプリにも利用範囲が広がった、タスクに応じて複数のクラウドモデルを組み合わせる機能（リサーチプレビュー）です。今回発表されたのは、その振り分け先を Windows 上で動くローカルモデルにも広げる拡張 です。GitHub Copilot アプリ / Copilot CLI / VS Code 向けに、2026年10月中に実験的プレビューとして提供予定と発表されています。

GitHub と Microsoft の技術解説では、ローカルモデルを利用する方法として、「Auto」でローカル／クラウドの推論先を自動選択する方法と、利用者がローカルモデルを直接選ぶ方法が紹介されています。ローカルモデルの例には MAI Code 1.1 Flash が挙げられています。ただし、ローカルで推論できることと、エージェントのセッション全体がオフラインで完結することは同じではありません。これらは発表された機能の説明であり、すべての環境で利用できることを意味しません。

2026年10月25日時点で、ローカルモデル対応のプレビューが実際に提供開始されたことを示す公式発表は確認できていません（10月14日の GitHub Changelog の HydraFusion 更新は、クラウド側の機能追加に関するものでした）。ここでは発表時点の予定として記載しています。公開後の提供状況は公式情報をご確認ください。

対応エージェントの広がり

MXC にはすでに次のようなエージェントが対応していると紹介されています。

OpenAI Codex
GitHub Copilot
OpenClaw、Replit、LM Studio、NVIDIA OpenShell、Unsloth AI など

さらに Anthropic の Claude Code なども対応予定とされています。特定ベンダーのエージェントだけでなく、複数のエージェントが同じ仕組みの上で動く 方向を目指しているのが「プラットフォーム化」と呼ばれるゆえんだと理解しています。

提供状況の整理

最後に、「今使えるもの」と「これから」を分けておきます。

区分	項目
提供済み（GA）	MXC（Windows 11 向け）、SDK（Rust / .NET / Node.js、MIT ライセンス）、Windows 365 Cloud PC での MXC
利用条件あり	プロセス分離・セッション分離などは、バックエンドごとに必要な OS ビルド・累積更新が異なる（OS バージョン対応表を参照）
実験的	microVM・Windows Sandbox・Hyperlight バックエンド（Windows）
発表済み・提供時期は未確認	「Get Started」の新しい体験
予定（プレビュー）	HydraFusion のローカルモデル対応（2026年10月中に実験的プレビュー予定との発表。10月25日時点の整理）
近日提供	Intune による集中管理、Entra によるエージェントの識別（人の操作との区別）、Agent 365 の管理機能のローカルエージェントへの拡張、Claude Code などの MXC 対応

Agent 365 そのものはすでに提供されている製品で、ここで「近日提供」としているのは、その管理機能を PC 上で動くローカルエージェント（MXC のコンテナ）にも広げる拡張 の部分です。Build 2026（6月）の時点では7月にプレビューと案内されていましたが、10月7日の Microsoft 公式 Windows Developer Blog でも、Entra によるエージェントの識別と並んで「近日提供（soon）」と説明されています。導入を検討する場合は最新の提供状況を確認してください。

👉 「閉じ込める仕組み」は使える段階、「組織で管理する仕組み」はこれから という状態と捉えると整理しやすいです。企業で導入を検討する場合は、管理・監査まわりの提供時期を確認しながら進めるのがよさそうです。

まとめ

Microsoft は Windows を AI エージェントにとって最も安全なプラットフォーム にする方針を打ち出した
安全性は Containment / Identity / Manageability（本記事では制御・識別・統治と意訳）の3観点で整理できる
中核の MXC は Windows 11 向けに GA（SDK は MIT ライセンスで公開）。ただし、バックエンドごとに必要な OS ビルドが異なる
JSON ポリシーで権限を絞り、Learning モードなどで観察してから絞れる。Permissive は MXC ポリシーで拒否されるアクセスも許可するため、信頼できる対象だけに使う
「Get Started」 で、エージェントの導入ハードルも下げようとしている（発表済み。提供時期は未確認）
ローカルとクラウドを使い分ける ハイブリッド知能 と、複数ベンダーのエージェント対応で エコシステム化 を進めている

一言でまとめると、「エージェントをアプリの機能から、OS が安全な実行を支えるものへ」 という方向転換の発表だったと捉えています。

参考（公式情報・報道）

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up