Microsoft eXecution Container（MXC）は、モデルの出力、プラグイン、ツールなど、信頼できないコードをWindows、Linux、macOS上で実行するために設計された、サンドボックス型のコード実行システムです。OSネイティブのサンドボックスや完全な仮想マシンを含む複数のバックエンドオプションを備えた統一的な封じ込めモデルを提供し、Rust、.NET、NodeのSDKからアクセスできます。MXCはJSONベースの設定を用いて、バージョン管理されたコンテナの作成とセキュリティポリシーを定義し、ファイルシステム、ネットワーク、UIへのアクセスを細かく制御できます。対応バックエンドには、Process Container、Windows Sandbox、LXC、Bubblewrap、Seatbelt、MicroVM（Nanvix）、Hyperlight、Isolation Session、WSLCがあり、一部は実験的機能として位置付けられています。本システムは、プロビジョニング、起動、実行、停止、プロビジョニング解除というライフサイクルを通じてコンテナを提供し、一回限りの処理と状態を保持する処理の両方に対応します。開発者はコンテナの種類、封じ込めのルール、ワークロードのコマンドを指定し、MXCは隔離環境を起動する前にそれらを検証します。診断ツールはアクセス拒否の障害の切り分けに役立ち、監査モードは観測されたアクセスを記録することでポリシーの作成を支援します。ただし監査モードはセキュリティを無効化するため、信頼できないコードでは使用すべきではありません。MXCのSDKはパッケージマネージャー（crates.io、NuGet、npm）から入手でき、wxc-exec.exeのようなネイティブ実行ツールを使えば、テストや組み込みの制約下でSDKを使わずに利用できます。本プラットフォームは、開発ワークフローにおけるセキュリティと使いやすさのバランスを取るため、ポリシー駆動型のサンドボックス化を重視しています。
出典: Hacker News · 要約：HeadlinesBriefing