Windows local IA Les agents locaux Windows peuvent désormais exécuter des outils dans des conteneurs imposés par le système d’exploitation, au lieu de s’appuyer entièrement sur les mécanismes de protection conçus par chaque application. Microsoft a rendu Microsoft Execution Containers généralement disponibles sur Windows 11 le 7 octobre 2026, offrant aux développeurs une couche de politiques commune pour les autorisations liées aux fichiers, au réseau et à l’interface. L’inférence de modèles en local reste distincte, créant une architecture modulaire pour des logiciels d’agents privés et réactifs.
Que sont les agents d’IA locaux de Windows ?
Les agents d’IA locaux de Windows sont des systèmes logiciels capables d’utiliser des modèles exécutés sur l’appareil, d’accéder au contexte autorisé du PC et d’effectuer des actions grâce à des outils fonctionnant sous Windows 11. L’architecture de Microsoft en 2026 sépare l’exécution du modèle du confinement des outils, de sorte qu’un agent peut combiner une intelligence locale ou cloud avec des restrictions imposées par le système d’exploitation sur les fichiers, le réseau et l’accès à l’interface utilisateur.
Un agent d’IA est un logiciel qui sélectionne et exécute des actions afin d’atteindre un objectif défini par l’utilisateur. Contrairement à un chatbot conventionnel, un agent peut exécuter des commandes shell, modifier des fichiers de projet, contacter des services ou appeler un serveur Model Context Protocol. Ces capacités rendent les autorisations plus déterminantes que l’emplacement du modèle lui-même.
Microsoft appelle sa conception plus large « Hybrid Intelligence ». GitHub HydraFusion est conçu pour acheminer les tâches entre les modèles locaux et cloud, tandis que Windows ML fournit une couche commune d’inférence locale sur le GPU, l’unité de traitement neuronal et le CPU. Microsoft a annoncé la prise en charge de llama.cpp par Windows ML le 7 octobre 2026.
Cette approche reflète les avantages pratiques présentés dans notre guide sur l’ IA exécutée sur l’appareil en 2026: le traitement local peut réduire la dépendance au réseau, conserver certaines données sur le PC et diminuer la latence aller-retour. Cela ne rend pas automatiquement un agent sûr. Un modèle local disposant d’un accès shell sans restriction peut toujours supprimer des fichiers ou exposer des identifiants.
Comment Microsoft Execution Containers protège-t-il les agents d’IA ?
Microsoft Execution Containers protège les agents d’IA en validant la charge de travail demandée par l’application, les règles de confinement et le type de conteneur avant de lancer un processus isolé. Les politiques sont appliquées à l’exécution au moyen des contrôles de Windows et peuvent autoriser, refuser ou limiter les chemins du système de fichiers, les connexions réseau, les proxys, l’utilisation du presse-papiers, l’accès à l’affichage et les interfaces graphiques.
Microsoft Execution Containers, ou MXC, est un SDK intégré à l’application et une couche de politiques unifiée qui sélectionne un backend d’isolation approprié pour une charge de travail déclarée. L’application reste responsable de fournir la commande et les règles. Windows gère la validation des politiques et le processus de lancement.
Cette distinction est importante. Microsoft a déclaré le 7 octobre 2026 que les bacs à sable traditionnels n’étaient pas conçus pour des exigences de confinement susceptibles de changer à chaque invite et appel d’outil. Un agent qui modifie un dépôt peut avoir besoin d’un accès en écriture à ce répertoire de travail, d’un accès en lecture seule aux compilateurs et d’aucun accès aux documents personnels.
L’exemple de GitHub Copilot présenté par Microsoft accorde un accès en lecture-écriture à son répertoire de travail, tout en rendant la majeure partie du reste du système accessible en lecture seule ou inaccessible. GitHub Copilot peut placer les commandes shell, les serveurs locaux Model Context Protocol et les serveurs de langage à l’intérieur du bac à sable. Ses outils de fichiers intégrés font l’objet d’une vérification par politique au sein de Copilot, plutôt que d’être lancés en tant que processus enfants isolés séparément, une limite subtile que les développeurs ne devraient pas négliger.
Les principaux contrôles disponibles pour une application intégrant MXC couvrent les domaines suivants :
- Chemins du système de fichiers avec accès en lecture seule, en lecture-écriture ou refusé.
- Trafic réseau sortant, entrant, utilisation de proxys et comportement de bouclage vers l’hôte.
- Fonctionnalités de l’interface utilisateur, notamment l’accès au presse-papiers, à l’affichage et à l’interface graphique.
- Opérations liées au cycle de vie du conteneur, telles que le provisionnement, le démarrage, l’exécution, l’arrêt et le déprovisionnement.
- Exécution unique pour les commandes de courte durée qui ne nécessitent pas d’environnement persistant.
Il s’agit d’une amélioration importante par rapport au fait de demander à chaque fournisseur d’IA d’inventer un bac à sable. Cependant, la qualité des politiques reste le problème du développeur. Une règle trop large peut être valide et dangereuse à la fois, tout comme les risques liés aux dépendances décrits dans notre analyse des problèmes de sécurité créés par le codage avec l’IA.
Quelle option d’isolation MXC les développeurs devraient-ils utiliser ?
Microsoft Execution Containers propose trois familles de backends prises en charge en 2026 : ProcessContainer, IsolationSession et WSL Container. ProcessContainer fournit une isolation légère des processus sans machine virtuelle ni image de conteneur distincte, tandis qu’IsolationSession et WSL Container conviennent aux charges de travail nécessitant des limites différentes entre les sessions Windows ou l’exécution Linux. Plusieurs options plus robustes restent expérimentales.
| Backend MXC | Statut en 2026 | Meilleur choix | Considération principale |
|---|---|---|---|
| ProcessContainer | Soutenu | Isolation rapide des commandes et des outils de codage | Aucune machine virtuelle ni image de conteneur distincte requise |
| IsolationSession | Surface SDK stable dans la version v0.9.0 | Charges de travail nécessitant l’isolation des sessions | Nécessite la build Windows 26340.9212 ou une version ultérieure, ainsi que la fonctionnalité correspondante |
| WSL Container | Surface SDK stable dans la version v0.9.0 | Outils et environnements Linux sous Windows | Utilise le chemin du Sous-système Windows pour Linux |
| Windows Sandbox | Expérimental | Isolation plus large d’un bureau jetable | L’API et le comportement peuvent changer |
| MicroVM | Expérimental | Isolation basée sur le matériel | Ne fait pas partie de la surface de production stable |
| Hyperlight | Expérimental | Charges de travail virtualisées légères | Pas encore prêt à être considéré comme une dépendance stable |
Selon le blog Command Line de Microsoft du 7 octobre 2026, GitHub Copilot utilise le niveau BaseContainer/ProcessContainer sous Windows, Seatbelt sous macOS et Bubblewrap sous Linux. Le confinement au niveau des processus évite le coût de démarrage et de stockage lié à la livraison d’une machine virtuelle complète. Pour les commandes de codage fréquentes, il s’agit du choix par défaut raisonnable lorsque sa limite correspond au modèle de menace.
Les développeurs ne devraient pas assimiler « conteneur » à un niveau de sécurité unique et fixe. Une limite au niveau des processus, un environnement Linux et une micro-machine virtuelle reposant sur le matériel impliquent des compromis différents. Notre couverture de NVIDIA OpenShell et de la sécurité des agents orientée matériel fournit un contexte utile pour les applications qui traitent du code non fiable.
MXC SDK v0.9.0, publié le 29 septembre 2026, expose des SDK Rust, .NET et Node. Son schéma de stratégie recommandé est intitulé 0.9.0-alpha, tandis que les fonctionnalités expérimentales utilisent 0.10.0-alpha. Le libellé de schéma « alpha » constitue un risque de déploiement facile à négliger, même si MXC lui-même a atteint la disponibilité générale en octobre 2026.
Les modèles locaux et MXC résolvent-ils le même problème ?
Les modèles locaux et Microsoft Execution Containers répondent à des problèmes différents sous Windows 11. Windows ML et llama.cpp exécutent des inférences sur les composants matériels GPU, NPU et CPU locaux, tandis que MXC limite les actions que les outils d’agent peuvent effectuer. GitHub HydraFusion détermine séparément si une tâche adaptée doit être confiée à un modèle local ou à un modèle cloud.
Il faut concevoir le système comme trois décisions indépendantes : où le raisonnement s’effectue, quel outil est sélectionné et quelles autorisations cet outil reçoit. Un modèle cloud peut demander une action à l’intérieur d’un bac à sable MXC local. Un modèle local peut également appeler un outil dont les restrictions sont insuffisantes. Le simple emplacement du modèle n’établit pas à lui seul un confinement.
La mémoire reste une contrainte majeure pour les agents d’IA locaux sous Windows. Microsoft a indiqué le 7 octobre 2026 que la quantification sur 3 bits réduit la taille de MAI Code 1.1 Flash de près de 80%. L’entreprise a également déclaré qu’un futur modèle NVIDIA Nemotron sur 2 bits, doté de plus de 70 milliards de paramètres, devrait consommer un peu plus de 20 Go de mémoire.
Voici le calcul utile : un système disposant de 24 Go de mémoire d’accélérateur disponible aurait moins de 4 Go restants après le chargement d’un modèle utilisant un peu plus de 20 Go, avant même de prendre en compte la surcharge d’exécution, les caches de contexte ou les autres applications. Soyons honnêtes : cette catégorie de modèle n’a de sens que lorsque le budget matériel laisse une marge réellement suffisante. Les modèles plus petits ou le routage vers le cloud resteront des nécessités pratiques.
Les affirmations relatives à la confidentialité exigent une précision similaire. L’inférence locale peut empêcher les invites de parvenir à un fournisseur de modèles distant, mais les outils d’un agent peuvent toujours se connecter à Internet, sauf si les communications sortantes sont bloquées. Les équipes d’entreprise devraient associer le confinement au type d’inventaire et de supervision décrit dans notre guide consacré à la recherche d’outils d’IA non autorisés.
Quand les développeurs peuvent-ils utiliser des agents d’IA locaux sous Windows ?
Les développeurs peuvent utiliser Microsoft Execution Containers comme fonctionnalité Windows 11 généralement disponible à partir du 7 octobre 2026, sous réserve des versions et fonctionnalités prises en charge. La prise en charge de ProcessContainer a atteint les versions maintenues de Windows 11, 24H2 et 25H2, via la mise à jour KB5120998 d’août 2026, tandis que certains contrôles réseau et de répertoires plus récents sont arrivés ultérieurement.
Selon les notes de version de MXC, la mise à jour KB5124010 de septembre 2026 de Microsoft a ajouté la mise en réseau par bouclage local de l’hôte et l’accès aux répertoires en mode énumération uniquement. IsolationSession nécessite la version 26340.9212 de Windows ou une version ultérieure, ainsi que la fonctionnalité correspondante du système d’exploitation. Ces prérequis rendent indispensables la détection de la version et un mécanisme de repli approprié pour les logiciels distribués sur des parcs d’entreprise hétérogènes.
Microsoft a cité OpenAI Codex, GitHub Copilot, OpenClaw, Replit, LM Studio, NVIDIA OpenShell et Unsloth AI parmi les agents intégrés à MXC le 7 octobre 2026. Muse for Windows de Meta a également été annoncé comme une application native intégrant MXC, bien que Microsoft n’ait fourni aucune date de sortie.
La nouvelle interface de Windows de Copilot comprend les sections Home, Code et Autopilot. Autopilot supervise les tâches des agents, tandis que le contexte local fondé sur les autorisations peut exposer les fichiers pertinents et l’activité récente du PC après approbation de l’utilisateur, selon l’annonce de Microsoft d’octobre 2026. Le consentement n’est véritablement éclairé que lorsque l’invite indique quelles données et quelle action sont demandées.
Le routage vers des modèles locaux via GitHub HydraFusion devait faire l’objet d’une préversion expérimentale plus tard en octobre 2026 dans l’application Copilot, Copilot CLI et Visual Studio Code. Les équipes de production devraient donc distinguer ce qui est généralement disponible de ce qui a seulement été annoncé. Le confinement MXC constitue la base de production ; le routage HydraFusion était encore une expérience à venir au moment de l’annonce.
Foire aux questions sur les agents d’IA locaux sous Windows
MXC nécessite-t-il une machine virtuelle ?
Microsoft Execution Containers ne nécessite pas toujours une machine virtuelle. Le backend ProcessContainer utilisé par GitHub Copilot en 2026 ne requiert ni machine virtuelle distincte ni image de conteneur, tandis que les options MicroVM expérimentales offrent un autre niveau d’isolation.
MXC peut-il empêcher un agent d’accéder à Internet ?
Les conteneurs d’exécution Microsoft peuvent restreindre le trafic réseau sortant, entrant, les serveurs proxy et l’accès en boucle locale à l’hôte au moyen de stratégies définies par l’application. La protection dépend du fait que la stratégie soit suffisamment restrictive et que les actions pertinentes de l’agent s’exécutent effectivement au sein de la charge de travail contrôlée.
Copilot demande-t-il l’autorisation avant de lire l’activité locale ?
Microsoft a déclaré en octobre 2026 que le contexte local de Copilot nécessiterait l’autorisation de l’utilisateur avant d’accéder aux fichiers pertinents et à l’activité récente sur le PC. Cette annonce ne signifie pas que tout agent Windows tiers bénéficie automatiquement de la même interface de consentement.
La télémétrie MXC est-elle obligatoire ?
La télémétrie de MXC est réservée à Windows et nécessite le consentement explicite de l’utilisateur, selon les notes de version GitHub 2026 de Microsoft. Le chemin de télémétrie se ferme par défaut lorsque ses exigences en matière de consentement ne sont pas respectées.