AI-agenten op Windows krijgen een eigen container, een eigen identiteit in Entra en, met jouw toestemming, via Copilot toegang tot je bestanden. Satya Nadella verwacht dat agents de grootste gebruikers van het bestandssysteem worden.
“Er is geen manier om een ecosysteem te bouwen zonder vertrouwen”, zegt Satya Nadella, CEO van Microsoft, op 7 oktober in San Francisco bij de opening van het eerste Windows- en Surface-evenement in meer dan twee jaar. Even later geeft hij het bestandssysteem van de pc een nieuwe hoofdgebruiker: “Ik denk dat agents de grootste gebruikers van het bestandssysteem worden.” Daarom, zegt Nadella, “moesten we van de desktop de veiligste plek maken om agents uit te voeren”.
Pavan Davuluri, Executive Vice President voor Windows + Devices, noemt de AI-agenten die vandaag op pc’s draaien “fundamenteel onveilig, omdat ze brede toegang tot het systeem hebben”. Met die diagnose zet Microsoft Windows op een nieuwe koers, en het vraagt daarvoor opnieuw vertrouwen. In 2024 stelde het bedrijf Recall uit na kritiek op de functie die om de paar seconden een schermafbeelding bewaart. Het verscheen in 2025 als opt-in. Op het podium in San Francisco valt de naam Recall niet.
Containers, identiteit en beheer
Het beveiligingsmodel dat Davuluri voor AI-agenten op Windows uittekent, heeft drie onderdelen: containment bepaalt wat een agent mag, identiteit maakt duidelijk welke agent iets deed en beheer koppelt dat aan Agent 365 en Intune. “Agents werken niet zoals traditionele apps”, schrijft hij in zijn blogpost. “Ze kunnen de klok rond draaien, tools gebruiken, code schrijven, bestanden openen en over systemen heen handelen, vaak zonder dat iemand elke stap volgt.”
Het eerste onderdeel is sinds 7 oktober algemeen beschikbaar op Windows 11: Microsoft Execution Containers, kortweg MXC. Logan Iyer, Corporate Vice President voor Windows Platform + Developer, vat het principe samen: “Een agent kan niet zijn eigen beveiligingsautoriteit zijn.” Een ontwikkelaar of beheerder declareert welke bestanden en netwerkbestemmingen een agent nodig heeft, en MXC dwingt die grens af tijdens het uitvoeren. De agent of de code die hij genereert, kan zichzelf geen extra toegang geven.
Iyer geeft het voorbeeld van een codeeragent die een website moet bijwerken. Die mag de repository lezen en schrijven en de serverconfiguratie alleen inkijken. Zonder grens kan de agent beslissen dat een aanpassing aan de server de snelste weg is naar het doel, en zo de productiesite breken. In een MXC-container blokkeert het systeem die handeling, wat het model, de plugin of de tool ook beslist. Alleen Windows biedt daarbij een sessiecontainer, die de agent onder een apart Windows-account draait met een eigen bureaublad, klembord en invoer.
GitHub Copilot, OpenAI Codex, OpenClaw, Replit, LM Studio, Nvidia’s OpenShell en Unsloth AI ondersteunen MXC al. Anthropic Claude Code, Perplexity, Raycast, Manus, Box en Egnyte volgen, net als Muse, de persoonlijke agent van Meta, die als native Windows-app verschijnt. Een leermodus houdt in een JSON-rapport bij welke bronnen een agent probeerde te bereiken; Intune-beleidsregels voor MXC volgen binnenkort.
AI-agenten op Windows krijgen een identiteit
Het tweede onderdeel staat nog op de planning. Windows laat Microsoft Entra binnenkort het onderscheid maken tussen wat een agent doet en wat de gebruiker doet. Raakt een agent gecompromitteerd, dan kan het beveiligingsteam zijn toegang intrekken zonder de werknemer te blokkeren.
Via Agent 365 zien beheerders welke agents draaien, welke activiteit bij welke agent hoort en op welke agents een beleid van toepassing is. In een voetnoot waarschuwt Davuluri dat beheer op schaal “mogelijk extra diensten vereist”. Microsoft legt dat uit op Ignite, zijn partnerconferentie, in november.
Copilot leest je bestanden, met toestemming
De nieuwe Copilot, opgedeeld in Home, Code en Autopilot, krijgt op Copilot+-pc’s drie lokale functies: hij leest met toestemming bestanden en recente activiteit, hij voert handelingen uit zoals bestanden ordenen, diagnoses draaien en code schrijven, en hij gebruikt modellen die op de pc zelf draaien. “Copilot begrijpt nu echt je pc”, zegt Jacob Andreou, Executive Vice President voor Copilot, op het podium.
Andreou toont Autopilot in een vooraf opgenomen demo. De agent zoekt belastingdocumenten bij elkaar uit verschillende mappen, hernoemt ze, zipt ze en zet een antwoordmail klaar die op goedkeuring wachtte. Een schakelaar “Hybrid Intelligence” zet de hele functie uit. De uitrol begint “in de komende maanden”, vereist een Windows-update en verschilt volgens Microsoft per toestel, markt en chipplatform. Welke toestellen in de eerste golf zitten, zegt Microsoft niet.
De nieuwe Copilot-functies blijven voorbehouden aan Copilot+-pc’s, hoewel Microsoft het label eind september begroef. Davuluri geeft in zijn blog cijfers over de categorie: Copilot+-pc’s voeren samen meer dan twee biljoen inferenties per maand lokaal uit, en meer dan 40 procent van de zakelijke laptops in productie voldoet aan die specificatie.
Lokale modellen moeten het cloudbudget sparen
De reden waarom Microsoft zoveel werk naar de pc verhuist, staat in de blog van Davuluri: “De behoeften van klanten groeien sneller dan hun cloudbudgetten aankunnen.” Elk token moet tellen. Daarom brengt Microsoft MAI Code 1.1 Flash, het codeermodel van Build met 137 miljard parameters waarvan 6,8 miljard actief, naar het toestel in 3-bitprecisie. Dat maakt het model bijna 80 procent kleiner, met een contextvenster van 256.000 tokens. Lokale aanroepen kosten geen AI-credits.
Nvidia’s Nemotron van meer dan 70 miljard parameters past in 2-bit in iets meer dan 20 GB geheugen, en DeepSeek V4 Flash met 284 miljard parameters draait op RTX Spark.
GitHub HydraFusion, dat elke taak naar het geschikte cloudmodel stuurt, leert op Windows ook lokale modellen aanspreken. Dat komt later in oktober als experimentele preview naar de GitHub Copilot-app, de CLI en Visual Studio Code. Windows ML krijgt ondersteuning voor llama.cpp. Windows Search op de taakbalk voert sinds 7 oktober voor Insiders “duizenden” acties uit, van “schakel naar donkere modus” tot “stuur Elisa een bericht dat ik er zo ben”. Copilot in de zoekbalk volgt later dit jaar als opt-in in geselecteerde markten.
Nvidia levert de hardware
De hardware voor dat lokale werk komt van Nvidia. Microsoft noemt pc’s met RTX Spark “builder-pc’s”: de Surface Laptop Ultra (2.599 dollar), laptops van Asus, Dell, HP, Lenovo en MSI, en de Surface RTX Spark Dev Box van 5.999 dollar.
Voor mini-desktops die de klok rond agents draaien, komt er een installatie in enkele klikken, met een Windows-gateway voor OpenClaw. Bovenaan staat DGX Station for Windows met Nvidia’s GB300-chip, 748 GB geheugen en twintig petaflops, goed voor modellen van een biljoen parameters en als “token factory” voor 32 of meer agents tegelijk. Dell en HP brengen zo’n workstation later dit jaar.
Jensen Huang, CEO van Nvidia, schuift na de aankondigingen bij Nadella aan. De chip kost volgens hem meer dan 4.000 ingenieursjaren en begon vier jaar eerder met een gesprek met Nadella. Op Computex in juni beschreef hij de pc van de toekomst al als een agent die thuis blijft staan en waarmee je berichten uitwisselt. “Windows is al 34 jaar bij me, en het ziet ernaar uit dat het nog 34 jaar bij me blijft.”
Voor Windows op Arm, dat volgens TrendForce dit jaar 3,2 procent van de laptopmarkt haalt, is Nvidia de katalysator waar Qualcomm eind september nog op wachtte.
Uitrol in fases
MXC is vandaag beschikbaar voor ontwikkelaars, met SDK en voorbeelden op GitHub. De agentidentiteit in Entra, de Intune-regels en de Copilot-functies volgen “binnenkort” en “in de komende maanden”, in een tempo dat per markt verschilt.
Op Ignite in november legt Microsoft uit hoe organisaties hybride intelligentie inzetten. De AI-agenten op Windows die vandaag al draaien, doen dat tot die uitrol buiten elke container, met de brede systeemtoegang die Davuluri op 7 oktober onveilig noemde.