Los agentes locales de Windows ahora pueden ejecutar herramientas dentro de contenedores impuestos por el sistema operativo, en lugar de depender por completo de las medidas de protección desarrolladas por cada aplicación. Microsoft hizo que Microsoft Execution Containers estuviera disponible de forma general en Windows 11 el 7 de octubre de 2026, proporcionando a los desarrolladores una capa de políticas compartida para los permisos de archivos, red e interfaz. La inferencia local de modelos sigue siendo independiente, lo que crea una arquitectura modular para un software de agentes privado y ágil. AI Microsoft denomina «Hybrid Intelligence» a su diseño más amplio.
¿Qué son los agentes de IA locales de Windows?
Los agentes de IA locales de Windows son sistemas de software que pueden utilizar modelos en el dispositivo, acceder al contexto aprobado del PC y realizar acciones mediante herramientas que se ejecutan en Windows 11. La arquitectura de Microsoft de 2026 separa la ejecución del modelo de la contención de herramientas, de modo que un agente puede combinar inteligencia local o en la nube con restricciones impuestas por el sistema operativo para el acceso a archivos, redes e interfaces de usuario.
Un agente de IA es un software que selecciona y ejecuta acciones para alcanzar un objetivo definido por el usuario. A diferencia de un chatbot convencional, un agente puede ejecutar comandos de shell, modificar archivos de proyecto, contactar con servicios o invocar un servidor de Model Context Protocol. Estas capacidades hacen que los permisos sean más importantes que la ubicación del propio modelo.
HydraFusion está diseñado para distribuir las tareas entre modelos locales y en la nube, mientras que Windows ML proporciona una capa común de inferencia local en la GPU, la unidad de procesamiento neuronal y la CPU. Microsoft anunció la compatibilidad con llama.cpp para Windows ML el 7 de octubre de 2026. GitHub Microsoft mencionó
Este enfoque refleja las ventajas prácticas que se explican en nuestra guía sobre la IA en el dispositivo en 2026: el procesamiento local puede reducir la dependencia de la red, mantener determinados datos en el PC y disminuir la latencia de ida y vuelta. Eso no hace que un agente sea seguro automáticamente. Un modelo local con acceso sin restricciones al shell todavía puede eliminar archivos o exponer credenciales.
¿Cómo protegen Microsoft Execution Containers a los agentes de IA?
Microsoft Execution Containers protege a los agentes de IA validando la carga de trabajo solicitada por una aplicación, las reglas de contención y el tipo de contenedor antes de iniciar un proceso aislado. Las políticas se aplican en tiempo de ejecución mediante controles de Windows y pueden permitir, denegar o limitar las rutas del sistema de archivos, las conexiones de red, los proxies, el uso del portapapeles, el acceso a la pantalla y las interfaces gráficas.
Microsoft Execution Containers, o MXC, es un SDK integrado en la aplicación y una capa de políticas unificada que selecciona un backend de aislamiento adecuado para una carga de trabajo declarada. La aplicación sigue siendo responsable de proporcionar el comando y las reglas. Windows se encarga de la validación de las políticas y del proceso de inicio.
Esta distinción es importante. Microsoft afirmó el 7 de octubre de 2026 que los entornos aislados tradicionales no estaban diseñados para unos requisitos de contención que pueden cambiar con cada solicitud y llamada a una herramienta. Un agente que edite un repositorio podría necesitar acceso de escritura a ese directorio de trabajo, acceso de solo lectura a los compiladores y ningún acceso a los documentos personales.
El ejemplo de GitHub Copilot de Microsoft concede acceso de lectura y escritura a su directorio de trabajo, al tiempo que hace que la mayor parte del sistema restante sea de solo lectura o inaccesible. GitHub Copilot puede colocar comandos de shell, servidores locales de Model Context Protocol y servidores de lenguaje dentro del entorno aislado. Sus herramientas de archivos integradas se someten a comprobaciones de políticas dentro de Copilot, en lugar de iniciarse como procesos secundarios aislados por separado, un límite sutil que los desarrolladores no deberían pasar por alto.
Los principales controles disponibles para una aplicación integrada con MXC abarcan las siguientes áreas:
- Rutas del sistema de archivos con acceso de solo lectura, lectura y escritura, o denegado.
- Tráfico de red saliente y entrante, uso de proxies y comportamiento de bucle invertido del host.
- Capacidades de la interfaz de usuario, incluido el acceso al portapapeles, la pantalla y la interfaz gráfica de usuario.
- Operaciones del ciclo de vida del contenedor, como aprovisionar, iniciar, ejecutar, detener y desaprovisionar.
- Ejecución única para comandos de corta duración que no necesitan un entorno persistente.
Esto supone una mejora significativa frente a pedir a cada proveedor de IA que invente un entorno aislado. Aun así, la calidad de las políticas sigue siendo responsabilidad del desarrollador. Una regla excesivamente amplia puede ser válida y peligrosa al mismo tiempo, de forma muy parecida a los riesgos de las dependencias descritos en nuestro análisis de los problemas de seguridad creados por la programación con IA.
¿Qué opción de aislamiento de MXC deberían utilizar los desarrolladores?
Microsoft Execution Containers ofrece tres familias de backends compatibles en 2026: ProcessContainer, IsolationSession y WSL Container. ProcessContainer proporciona un aislamiento ligero de procesos sin una máquina virtual ni una imagen de contenedor independientes, mientras que IsolationSession y WSL Container son adecuados para cargas de trabajo que necesitan distintos límites de sesión de Windows o de ejecución de Linux. Varias opciones más robustas siguen siendo experimentales.
| Backend de MXC | Estado en 2026 | Mejor opción | Consideración clave |
|---|---|---|---|
| ProcessContainer | Apoyado | Aislamiento rápido de comandos y herramientas de programación | No requiere una máquina virtual ni una imagen de contenedor independientes |
| IsolationSession | Superficie estable del SDK en la versión v0.9.0 | Cargas de trabajo que necesitan aislamiento de sesión | Requiere la compilación 26340.9212 de Windows o una posterior, además de la característica correspondiente |
| WSL Container | Superficie estable del SDK en la versión v0.9.0 | Herramientas y entornos de Linux en Windows | Utiliza la vía del Subsistema de Windows para Linux |
| Windows Sandbox | Experimental | Aislamiento de escritorio desechable más amplio | La API y el comportamiento pueden cambiar |
| MicroVM | Experimental | Aislamiento respaldado por hardware | No forma parte de la superficie estable de producción |
| Hyperlight | Experimental | Cargas de trabajo virtualizadas ligeras | No está preparado para tratarlo como una dependencia estable |
Según el blog Command Line de Microsoft del 7 de octubre de 2026, GitHub Copilot utiliza el nivel BaseContainer/ProcessContainer en Windows, Seatbelt en macOS y Bubblewrap en Linux. La contención a nivel de proceso evita el coste de inicio y almacenamiento que supone distribuir una máquina virtual completa. Para comandos de programación frecuentes, es la opción predeterminada sensata cuando su límite coincide con el modelo de amenazas.
Los desarrolladores no deberían equiparar «contenedor» con un único nivel fijo de seguridad. Un límite de proceso, un entorno Linux y una micro máquina virtual respaldada por hardware implican distintas compensaciones. Nuestra cobertura de NVIDIA OpenShell y la seguridad de agentes orientada al hardware proporciona un contexto útil para las aplicaciones que gestionan código no fiable.
MXC SDK v0.9.0, publicado el 29 de septiembre de 2026, ofrece SDK de Rust, .NET y Node. Su esquema de políticas recomendado está etiquetado como 0.9.0-alpha, mientras que las capacidades experimentales utilizan 0.10.0-alpha. La etiqueta de esquema «alpha» es un riesgo de implementación fácil de pasar por alto, aunque el propio MXC alcanzó la disponibilidad general en octubre de 2026.
¿Los modelos locales y MXC resuelven el mismo problema?
Los modelos locales y Microsoft Execution Containers resuelven problemas distintos en Windows 11. Windows ML y llama.cpp ejecutan inferencias en hardware local con GPU, NPU y CPU, mientras que MXC restringe lo que pueden hacer las herramientas de los agentes. GitHub HydraFusion decide por separado si una tarea adecuada debe asignarse a un modelo local o a uno en la nube.
Piensa en el diseño como tres decisiones independientes: dónde se produce el razonamiento, qué herramienta se selecciona y qué permisos recibe dicha herramienta. Un modelo en la nube puede solicitar una acción dentro de un entorno aislado local de MXC. Un modelo local también puede llamar a una herramienta con restricciones insuficientes. La ubicación del modelo, por sí sola, no establece la contención.
La memoria sigue siendo una limitación importante para los agentes de IA locales de Windows. Microsoft afirmó el 7 de octubre de 2026 que la cuantización de 3 bits reduce el tamaño de MAI Code 1.1 Flash en casi 80%. La empresa también indicó que está previsto que un próximo modelo NVIDIA Nemotron de 2 bits, con más de 70.000 millones de parámetros, consuma algo más de 20 GB de memoria.
Este es el cálculo útil: un sistema con 24 GB de memoria disponible en el acelerador tendría menos de 4 GB libres después de cargar un modelo que utiliza algo más de 20 GB, antes de tener en cuenta la sobrecarga del tiempo de ejecución, las cachés de contexto u otras aplicaciones. Sinceramente, esa clase de modelo solo tiene sentido cuando el presupuesto de hardware deja un margen considerable. Los modelos más pequeños o el enrutamiento a la nube seguirán siendo necesidades prácticas.
Las afirmaciones sobre privacidad requieren una precisión similar. La inferencia local puede mantener las indicaciones alejadas de un proveedor de modelos remoto, pero las herramientas de un agente aún pueden conectarse a Internet si no se deniega la salida de red. Los equipos empresariales deberían combinar la contención con el tipo de inventario y supervisión descritos en nuestra guía para encontrar herramientas de IA no autorizadas.
¿Cuándo pueden utilizar los desarrolladores agentes de IA locales de Windows?
Los desarrolladores pueden utilizar Microsoft Execution Containers como una funcionalidad de Windows 11 disponible con carácter general desde el 7 de octubre de 2026, sujeta a las compilaciones y características compatibles. La compatibilidad con ProcessContainer llegó a las versiones con mantenimiento de Windows 11, 24H2 y 25H2, mediante la actualización KB5120998 de agosto de 2026, mientras que algunos controles de red y directorio más recientes llegaron posteriormente.
La actualización KB5124010 de Microsoft de septiembre de 2026 añadió redes de bucle invertido del host y acceso a directorios únicamente para enumeración, según las notas de la versión de MXC. IsolationSession requiere la compilación 26340.9212 de Windows o posterior, además de su característica asociada del sistema operativo. Estos requisitos previos hacen necesario detectar la compilación y ofrecer una alternativa adecuada para el software distribuido en flotas corporativas heterogéneas.
Codex, GitHub Copilot, OpenClaw, Replit, LM Studio, NVIDIA OpenShell y Unsloth AI entre los agentes integrados con MXC el 7 de octubre de 2026. También se anunció Muse for Windows, de Meta, como una aplicación nativa con integración de MXC, aunque Microsoft no proporcionó ninguna fecha de lanzamiento. IA abierta Codex, GitHub Copilot, OpenClaw, Replit, LM Studio, NVIDIA OpenShell y Unsloth AI entre los agentes integrados con MXC el 7 de octubre de 2026. Muse for Windows de Meta también se anunció como una aplicación nativa con integración de MXC, aunque Microsoft no proporcionó ninguna fecha de lanzamiento.
La interfaz revisada de Windows de Copilot contiene las áreas Inicio, Código y Piloto automático. El Piloto automático supervisa las tareas de los agentes, mientras que el contexto local basado en permisos puede exponer archivos pertinentes y actividad reciente del PC después de la aprobación del usuario, según el anuncio de Microsoft de octubre de 2026. El consentimiento solo es significativo cuando la solicitud indica qué datos y qué acción se están solicitando.
El enrutamiento de modelos locales mediante GitHub HydraFusion estaba previsto como una versión preliminar experimental para finales de octubre de 2026 en la aplicación de Copilot, Copilot CLI y Visual Studio Code. Por tanto, los equipos de producción deberían distinguir entre lo que está disponible con carácter general y lo que simplemente se anunció. La contención de MXC es la base de producción; el enrutamiento de HydraFusion seguía siendo un experimento futuro en el momento del anuncio.
Preguntas frecuentes sobre los agentes de IA locales de Windows
¿MXC requiere una máquina virtual?
Microsoft Execution Containers no siempre requiere una máquina virtual. El backend ProcessContainer utilizado por GitHub Copilot en 2026 no necesita ni una máquina virtual independiente ni una imagen de contenedor, mientras que las opciones experimentales de MicroVM proporcionan un nivel de aislamiento diferente.
¿Puede MXC impedir que un agente acceda a Internet?
Los contenedores de ejecución de Microsoft pueden restringir el tráfico de salida y de entrada de la red, los proxies y el acceso de bucle invertido al host mediante políticas definidas por la aplicación. La protección depende de que la política sea lo suficientemente limitada y de que las acciones pertinentes del agente se ejecuten realmente dentro de la carga de trabajo controlada.
¿Copilot pide permiso antes de leer la actividad local?
Microsoft declaró en octubre de 2026 que el contexto local de Copilot requeriría el permiso del usuario antes de acceder a archivos relevantes y a la actividad reciente del PC. El anuncio no significa que todos los agentes de Windows de terceros hereden automáticamente la misma interfaz de consentimiento.
¿Es obligatorio el sistema de telemetría de MXC?
La telemetría de MXC es exclusiva de Windows y requiere el consentimiento explícito del usuario, según las notas de la versión de GitHub de Microsoft de 2026. La ruta de telemetría se cierra de forma segura cuando no se cumplen sus requisitos de consentimiento.