7 Ekim 2026'da Microsoft, Windows Developer Blog üzerinden Microsoft Execution Containers (MXC) ürününün genel erişime açıldığını duyurdu. Yazının altında Windows Platform + Developer kurumsal başkan yardımcısı Logan Iyer imzası var. MXC, yapay zeka ajanlarının dosya, ağ ve uygulama yüzeyinde sınırsız dolaşmasını engellemek için politika güdümlü bir çalıştırma sınırı vaat ediyor: geliştirici veya kurum hangi kaynaklara izin veriyorsa konteyner bunu çalışma anında uyguluyor; ajan kendi kendine yetki genişletemiyor.

Microsoft'un çerçevesi üç ayaklı: sınırlama (containment), kimlik ve yönetilebilirlik. MXC bugün sınırlama katmanını getiriyor. Yakında Microsoft Entra ile ajan etkinliğini kullanıcı etkinliğinden ayırma ve Microsoft Agent 365 kontrollerini yereldeki ajanlara uzatma planlanıyor. Amaç, “ajana her şeyi ver veya hiç verme” ikilemini kırmak.

Neden yönetilen bir çalıştırma sınırı?

Blogdaki klasik örnek: bir kodlama ajanından siteyi güncellemesi isteniyor. Depoya okuma-yazma ve geliştirme araçlarına erişim makul; üretim sunucu yapılandırmasını okumak gerekebilir ama değiştirmek gerekmez. Sınır yoksa ajan, görevi hızlandırmak için yapılandırmayı değiştirmeyi “mantıklı” bulabilir ve üretimi bozabilir. MXC'nin iddiası, bu tür taşmaları model, üretilen kod, eklenti veya araç ne isterse istesin işletim sistemi tarafında kesmek.

Microsoft'un vurgusu net: ajan kendi güvenlik otoritesi olamaz. Sınır, ajanın dışında tanımlanmalı ve bağımsız uygulanmalı. Bu, yazın ve sonbaharda görülen ajan kaçırma / istem dışı eylem tartışmalarıyla aynı zamana denk geliyor; laboratuvarlar değerlendirmelerde interneti kapatırken Microsoft da masaüstü ve bulut PC tarafında politika kutusunu genişletiyor.

MXC ne sunuyor?

MXC, güvenilmeyen kod veya dinamik üretilmiş iş yükleri için politika güdümlü bir katman. Agentic senaryolarda model çıktısı, eklenti, araç, ajan koşum takımı veya ajanın tamamı kapsanabiliyor. Geliştiriciler ihtiyaç duyulan dosya ve ağ hedeflerini bildiriyor; MXC uygun konteyner arka ucuyla sınırı zorluyor. Politika ajanın kontrolünde değil.

Tek bir JSON yapılandırma şeması ve çok dilli SDK ile Windows, macOS veya Linux'taki arka uçlara eşleme yapılıyor. Windows 365 için MXC desteği de genel erişime açılmış durumda: Cloud PC üzerinde ajanlar mevcut işle yan yana, ayrı izolasyon modeliyle çalıştırılabiliyor.

Konteyner arka uçları

Farklı iş yükleri farklı izolasyon ister. Microsoft'un tablosu özetle şöyle:

  • Process container: Windows 11, macOS, Linux. Hafif sınırlama; Windows'ta AppContainer, macOS'ta Seatbelt, Linux'ta Bubblewrap.
  • Session container: yalnızca Windows 11. Uzun süren ajanlar için ayrı oturum, ayrı yerel ajan kimliği, izole masaüstü / pano / girdi.
  • WSL container (WSLc): yalnızca Windows 11. Linux araç zincirleri için WSL ortamı.
  • MicroVM: Windows 11 ve Linux, deneysel. Donanım destekli sanal sınır; yüksek riskli iş yükleri.

Politika alanları containment, process, dosya sistemi, ağ ve kullanıcı arayüzünü kapsıyor. Örnek politikada ajan depo ve Git'e erişebilir, Documents klasörüne gidemez, masaüstü etkileşimi ve ağ kapatılabilir.

Kurumsal politika ve öğrenme modları

Geliştirici gereksinimleri ile Intune gibi yönetim politikaları üst üste binebiliyor. Aynı ajan farklı şirketlerde farklı sınırlarda çalışabiliyor. Intune'un MXC process container politikaları “yakında” vaat ediliyor. Agent geliştiricilerinden beklenen: daha kısıtlı sınırda sessizce çökmek yerine kullanıcıya veya yöneticiye açıklamak, güvenli alternatif seçmek.

Windows'ta process container'lar ajan etkinlik raporu üretebiliyor. Üç mod var:

  • Enforcement: politika uygulanır, rapor yok
  • Learning: sınır uygulanır; reddedilen erişimler kayda geçer
  • Permissive: reddedilecek erişimler izinlenir ama kayda geçer — politika yazarlığı için

Kim kullanıyor, kod nerede?

Duyuruya göre MXC'yi bugün destekleyenler arasında GitHub Copilot, OpenClaw, OpenAI Codex, Replit, LM Studio ve Unsloth AI var. NVIDIA OpenShell'i MXC'ye entegre etmiş. Yolda destek açıklayanlar arasında Anthropic Claude Code, Box, Egnyte, Heidi Health, Hermes Agent, Manus, Perplexity, Raycast ve Simular sayılıyor. SDK, şema, belgeler ve örnekler github.com/microsoft/mxc deposunda.

Türkiye açısı

Türkiye'de Windows 11 ve Microsoft 365 kullanan kurumlar, “ChatGPT / Copilot ajanı şirketin dosyalarına dokunsun” talebiyle güvenlik ekiplerini karşı karşıya getiriyor. MXC, bu gerilimi politika diline çevirme şansı sunuyor: ajan yalnızca proje klasörüne yazsın, muhasebe paylaşımına ve personal OneDrive'a hiç bakmasın. KVKK ve müşteri sözleşmeleri açısından da faydalı olabilir; çünkü erişim sınırı ürün vaadi değil, işletim sistemi zorlaması olarak anlatılıyor.

Yine de dikkat: GA duyurusu her arka ucun her senaryoda olgun olduğu anlamına gelmiyor. MicroVM deneysel; Intune yönetimi ve Entra ajan kimliği “yakında”. Yerel güvenlik ekipleri pilotu Learning/Permissive ile başlatıp etkinlik raporundan least-privilege politikası çıkarmalı; Enforcement'a aceleyle geçmek meşru iş akışlarını kırabilir. Açık kaynak ajan çerçeveleri kullanan Türk yazılım evleri için GitHub deposundaki şema, Copilot dışındaki araçlara da aynı modeli taşıma yolu.

Özet: Microsoft 7 Ekim'de MXC'yi genel erişime açtı. Ajanlara politika ile dosya/ağ/UI sınırı çiziliyor; process'ten session ve deneysel MicroVM'e uzanan spektrum var. Siber ve YZ haberinin kesiştiği nokta burası: laboratuvarlar interneti keserken masaüstü platformu da ajanı kutuya almaya çalışıyor.

Ajan kimliği ve atıf

Sınırlama “ajan ne yapabilir?” sorusunu yanıtlar; kimlik “hangi ajan yaptı?” sorusuna geliyor. Microsoft, Entra'nın yakında ajan etkinliğini kullanıcı etkinliğinden ayıracağını söylüyor. Böylece bir ajanın politikayı çiğnemesi veya ele geçirilmesi halinde çalışanın erişimi kesilmeden yalnızca ajanın korunan kaynaklara erişimi kısıtlanabilecek. Agent 365 üzerinden hangi ajanların çalıştığı, riskli davranışın kime ait olduğu ve politika grupları izlenebilecek. Bu, SOC ekipleri için kullanıcı-cihaz seviyesindeki klasik SIEM görünümünden ajan seviyesine geçiş demek.

Geliştirici tarafında “önce gözlemle, sonra zorla” yaklaşımı da önemli. Learning ve Permissive modlar, least-privilege politikasını tahminle yazmak yerine gerçek erişim izinden üretmeye yarıyor. İlk günden Enforcement açmak, ajanın meşru olarak ihtiyaç duyduğu Git, paket önbelleği veya iç API'yi de kesebilir; bu da ekiplerin konteyneri tamamen kapatmasına yol açar. Microsoft'un kendi anlatımı da politika yazarlığını iteratif bir iş olarak konumlandırıyor.

Rekabet bağlamında MXC yalnız değil: tarayıcı ve işletim sistemi katmanında ajan sandbox'ları çoğalıyor. Fark, Microsoft'un bunu Windows 11 + Windows 365 + Intune + Entra zincirine bağlaması. Kurumsal Windows filolarında tek panel vaadi cazip; macOS/Linux arka uçları ise çapraz platform ajan çerçeveleri için önemli. Yine de session container'ın Windows'a özel oluşu, “aynı politika her yerde aynı güvenlik” iddiasını sınırlıyor.