微软把 Copilot 拆成 Home、Code、Autopilot 三个板块：MXC 执行容器 10 月 7 日转正式可用，权限策略在智能体运行时强制执行

一个容易被忽略的时间差：微软把 Copilot 重构成 Home、Code、Autopilot 三块，发生在 2026 年 9 月 25 日；10 月 7 日的 Windows 与 Surface 活动上，登场的另一样东西——Microsoft Execution Containers（MXC，微软执行容器）在 Windows 11 上转为正式可用。两件事相隔 12 天，被很多转述揉成了一条新闻。但对做治理的人来说，这两个日期分别对应两套完全不同的风险：前者是「智能体开始替你干活」，后者是「操作系统第一次有能力拦住它」。

微软自己在 Partner Center 的 9 月公告里是这么说的：客户越来越希望 AI 能承担复杂工作、构建解决方案并自动化业务流程，同时也需要商业环境、治理与商业弹性才能在组织中扩展 AI。这句话翻译成人话就是——能力已经卖出去了，治理得赶紧补上。

一、三块分别是什么：Home 是入口，Code 是造工具，Autopilot 是常驻

先把三个板块的功能边界说清楚，这是理解后面所有治理设计的前提。

Home 是新版 Copilot 的默认入口，把 Chat 与 Cowork 合并到一起，并通过「Office in Copilot」把 Word、Excel、PowerPoint 的能力直接嵌进 Copilot 体验里。用户可以要求它写文档、建预算模型、做演示文稿，并在对话中实时编辑文件。微软还计划在 Home 中加入 Today，以个性化仪表盘汇总重要邮件、会议请求、Teams 讨论串。

Code 面向的是「非开发者也要造工具」这件事。用户用自然语言描述一个应用、追踪器、仪表盘或自动化流程，Copilot 就把它建出来，成果可以以云端内部应用的形式分享给同事。底层用的是与 GitHub Copilot 相同的技术，在沙盒环境中运行，也可以托管在企业租户内。配套的 Copilot Managed Runtime 提供微软运营的托管基础设施、Git 版本管理、Entra 身份授权与 SDK，目前是公开预览状态。

Autopilot 是三者中风险最高的一个，原名 Scout，最早是一款桌面应用，更名后转向云端。微软对它的定义是「持续运行、主动执行任务的个性化智能体」，它运行在租户内，拥有独立的身份、记忆、计算机和工作区，以 Microsoft IQ 为基础，因此能理解组织是怎么运转的。它可以监控 Teams 频道、定期执行工作任务、负责后续跟进，在 Teams、Outlook、聊天、频道和文档里被同事用 @ 提及时会像同事一样出现。按微软的说法，即使用户离线——包括睡觉时——它也在继续推进任务。微软 AI 业务首席营销官斯帕塔罗把它称作「数字队友」。

需要更正一个常见的转述错误：有说法把 Cowork 当成第四个板块，实际不是。Cowork 是 Home 内部的一种模式，负责「一次性委派、端到端自主执行并回传成果」，比如 RFP 回复、产品上市素材、财务结案报告。微软的计划是未来用户无需手动选模式，只要描述想做什么，Copilot 自动判断派给 Chat、Cowork 还是 Code。

二、真正的风险不在聊天，在「没人看着它的时候」

传统访问控制的假设是：一个人登录、做事、登出。Autopilot 这种东西完全不符合这个模型——它有自己的凭据，持续运行，持续记忆，跨周跨月地行动。

这解释了一个反常识的现象：为什么微软在同一场发布里塞进了这么多财务控制。新版 Copilot 的计费被拆成两层——用户订阅许可（USL）覆盖日常 Copilot 价值，包括 Chat 和 Word、Excel、PowerPoint、Outlook、Teams 里的 Copilot；而 Cowork、Code、Autopilot 以及其他长时运行的智能体能力和前沿模型，走的是按用量计费（UBB）。微软同步推出了 FinOps for AI，Agent 365 的成本管理范围从 Cowork 与 Work IQ API 扩展到 Code 与 Copilot Managed Runtime，Copilot Studio 的智能体也在 10 月纳入。管理员可以通过 API 管理支出策略、把额度申请路由进既有审批流、设定不同用户组可用哪些模型族；终端用户能在 Copilot 里看到自己的额度用量和余额。

一个持续运行、读取它被加入的每一个频道、能自己干好几天的智能体，不是可预测的有限工作负载，它更接近于雇了一个工时无法提前封顶的员工。微软把消费上限和分群体模型可用性控制塞进这次发布，原因和云厂商做账单告警的原因一样：一旦智能体不再等待提示词，用量和成本就会不可预测地跳。

规模上也有参照。微软在 7 月的财年第四季度电话会上提到 Microsoft 365 Copilot 付费席位超过 3000 万。在这个基础上叠加一层按量计费的智能体支出，对企业 IT 和财务是全新的预算科目。

三、MXC 到底管住了什么：策略在运行时强制，智能体无法自我提权

10 月 7 日真正落地的是这一层。

MXC 的定位是「跨平台、策略驱动的执行层」，覆盖 Windows 与 WSL。开发者声明一个智能体能访问什么——比如文件和网络相关的策略——MXC 在运行时强制执行这些边界。微软给出的三个设计原则是 containment（隔离）、identity（身份）、manageability（可管理）。

落到实现上，MXC 提供四类隔离后端：

• 进程容器，Windows 11、macOS、Linux 均可用，映射到底层分别是 AppContainer、Seatbelt 和 bubblewrap，适用于模型生成代码与工具执行；
• 会话容器，仅 Windows 11，智能体运行在独立 Windows 账户下，拥有自己的桌面、剪贴板和输入设备，适用于需要桌面的长时智能体；
• WSL 容器，仅 Windows 11，面向 Linux 优先的智能体工具链；
• MicroVM，Windows 11 与 Linux，用虚拟机监控程序提供硬件级隔离，仍是实验性状态，面向高风险负载。

策略用一个 JSON 文件声明，覆盖五个面：用哪个后端、进程（命令、参数、工作目录、环境变量）、文件系统（可写路径、只读路径、完全不可见路径）、网络（入站、出站、是否允许回环到宿主服务）、以及能否触碰桌面。SDK 提供 Rust、.NET 和 Node 版本，仓库在 GitHub 上以 MIT 许可发布。

关键机制在于策略的位置：它活在工作负载之外，所以模型生成的代码无法给自己授予更多访问权限。用 eSecurity Planet 的表述，智能体「不能简单地给自己授予额外的文件或网络访问权」。三种运行模式是 Enforcement（策略外的一律拦截）、Learning（拦截并记录，生成 JSON 报告）、Permissive（只记录，放行）。第三种模式不提供任何实际保护，生产环境上不应保留。

生态侧，微软点名已支持 MXC 的有 GitHub Copilot、OpenAI Codex、OpenClaw、Replit、LM Studio、Unsloth AI 与 NVIDIA 的 OpenShell；计划支持的有 Anthropic 的 Claude Code、Box、Egnyte、Heidi Health、Hermes Agent、Manus、Perplexity、Raycast、Simular 等。10 月 7 日同一天，GitHub 也为 Copilot CLI、Copilot 应用和 VS Code 的 Agent Host 会话开启了本地沙箱，且文档明确说明本地沙箱默认关闭。

四、官方口径与媒体口径的分歧：Intune 和 Entra 还没落地

这一段必须写得谨慎，因为两边说法不一致。

微软在 Build 2026 的安全页面上写得很完整：Windows 为智能体分配本地 ID 或由 Entra 支持的云端身份，并把容器内的全部活动归因到该身份，因此可以清楚区分人与智能体；Agent 365 在 MXC 之上叠加 Entra 与 Intune 策略，让 IT 集中治理隔离，同时由开发者按工作负载选择隔离强度；Intune 原生集成可设置策略来限制智能体运行时执行。

但多家关注企业 IT 的媒体在 10 月 7 日之后给出的落地状态是另一回事：MXC 进程容器通过 Intune 的集中管理「尚未正式可用」，将在未来版本提供；以 Entra 与 Agent 365 实现的智能体身份归因仍在开发中；微软未给出两者的日期。这两项缺失的后果很实在——在它们落地之前，写边界的是开发智能体的那个人，而审计日志上写的仍然是使用这台电脑的员工姓名。

对跨境团队来说，这个缺口尤其要当心。多店铺运营、客服话术生成、财务对账这类场景，恰恰是最容易被塞进常驻智能体的工作：它们规则明确、重复度高、跨时区。但同样因为它们规则明确，一旦权限给宽了，泄露的也是最完整的经营数据——店铺 GMV、客户信息、供应商报价。眼下的可执行动作是：先盘一遍公司电脑上正在跑哪些智能体，逐个问厂商是否支持 MXC 以及哪些部分真的跑在容器里；在几台开发机上开 Learning 模式，看每个智能体实际用了哪些文件和网络；别在任何生产机上留 Permissive 模式；等 Intune 管理落地再规划全量铺开。

五、信任这道坎，微软自己踩过一次

Engadget 在报道这次混合智能推进时提醒，这一轮动作紧随 Recall 引发的反弹，以及微软后来从 Windows 11 中移除的若干 Copilot 功能。这不是小事：让 Copilot 读取本地文件、在操作系统层面执行操作，正是当年 Recall 引起争议的核心。微软这次的解法是「以权限为前提」——所有本地上下文、本地操作、本地模型调用都要求用户授权，Jacob Andreou 演示的报税场景里，智能体在发送邮件前停下来等用户确认。

但授权机制本身有个结构性问题：当智能体的职责被定义为「在你不监督的时候工作」，用户授权就变成了一次性的、事前的、对不可预见行为的概括授权。微软目前的答案是管理侧的旋钮——额度上限、审批路由、分群模型可用性。这些是合理的第一批控制，但它们是策略开关，不是已经解决的治理模型。

还有一层成本问题没有答案。微软把按用量计费放在 Autopilot 上，但没有公布 Autopilot 的 Copilot Credits 费率；混合智能相关功能的开放节奏，微软的说法是「未来数月内在 Copilot+ PC 上逐步推出」，可用性和时间会因设备、市场、芯片平台而异。Autopilot 本身在 9 月底扩大的是私有预览，Home 与 Code 通过 Frontier 计划分批放开。具体定价与开放地域，截至发稿微软尚未完整公布，以微软官方文档为准。

所以，10 月 7 日并不只是又一次 Copilot 改版。它标志着操作系统第一次把「智能体能碰什么」这件事从提示词层面收回到内核层面；而微软同期推出的消费上限，等于承认了常驻智能体的账单是不可预测的。真正的考验不是 MXC 能不能拦住文件访问——技术上它已经拦住了——而是当 Intune 与 Entra 那两块拼图补齐之前，有多少企业愿意让一个自己写边界、却署着员工名字的智能体，在没人看着的夜里跑上三天。到那时，这笔账才算得清。

六、参考资料

• Microsoft Partner Center：《2026 年 9 月公告》（推出全新 Copilot：整合式体验，2026 年 9 月 25 日）
• 界面新闻 / 每日经济新闻：《微软发布新版 Copilot，引入 Home、Code 和 Autopilot 三大 AI 功能》
• IT之家：《聊天、编程、智能体三合一，微软正式发布新版 Copilot「超级应用」》
• CIO Taiwan：《微軟推出全新 Copilot 搭載 Home、Code 與 Autopilot》
• Microsoft（Build 2026 安全议程）：《Securing the new risk surface: local agents, claws, and open runtimes》
• Windows Report：《All the Biggest Announcements from Surface Laptop Ultra & Windows Event》
• TestingCatalog：《Microsoft brings hybrid AI and agent controls to Windows》
• IT Business Digest：《Microsoft ships containers that limit what AI agents can touch on Windows 11》