Windows 给 agent 发了张工牌

任务管理器里出现两个用户名：一个是人，一个是 agent。它能开程序、读剪贴板、跑几个小时，系统把它当作用户来管。

这是 Windows 这轮改造最具体的一处。

一、发生了什么

9 月 22 日，《The Pragmatic Engineer》刊出对微软 Windows 团队的三位负责人访谈：负责 Windows 与设备的执行副总裁帕万·达武鲁里、负责 CoreAI 与 GitHub 的斯科特·汉塞尔曼、负责平台与开发者的洛根·艾耶。

几个已经落地的设计：

身份。 agent 通过 Entra ID 获得本地身份，在任务管理器里按用户分组显示，和人类用户并列。这意味着针对人的可观测性——会话、资源占用、审计——都能套到 agent 身上。杀毒软件 Defender 也在变成"能认出 agent"，会扫描本地已知的 agent 活动。

发现。 系统内置一个设备端 agent 注册表，管理本机的 MCP 服务，并为文件资源管理器、系统设置这类系统组件提供连接器。一个整理照片的 agent 要先在这里找到文件访问能力，才能动用户的目录。

隔离。 微软在执行容器上做了一套新机制，把 agent 调用的工具放进沙箱，用策略文件描述网络、文件系统、界面和执行的限制。它已经能跑在 Windows、Linux、macOS 上，企业可以通过 Intune 统一下发策略。

本地模型。 Windows ML 包住 ONNX 运行时，把不同硬件的加速抽象成统一接口，硬件厂商提交自己的执行提供程序。这样换硬件不再等驱动更新——上一代方案靠驱动，一次适配要半年。系统还打算内置小模型，未来不要求机器有 NPU。

访谈里有个演示：一台预发布的 Surface 笔记本，用英伟达 GPU 本地跑千问模型，接上 GitHub Copilot，出词速度约每秒 40 个 token。

还有一个数字扎心：读者投票里，macOS 占 65%，原生 Linux 16%，Windows 只有 14%，另有 5% 在 Windows 里跑 Linux 子系统。样本只有 331 票，不能代表全体开发者，但足够说明这群读者的偏好。

企业 IT。 你终于能给 agent 建账号、发权限、留审计。但这也意味着 agent 会成为权限治理的一部分，不能再当"一个应用"处理。否则一个被攻破的 agent，就是一个带着工牌的内鬼。

开发者。 工具被隔离、模型在本地、系统组件有标准连接器——这三样决定了你敢不敢把 agent 放进真实工作流。

普通用户。 短期内感知不到。等 agent 真的常驻，任务管理器里会多出几个"用户"，那时候你才知道谁在动你的文件。

"AI 会重写操作系统内核。" 这轮改的是身份、注册表、容器和模型运行时，全是内核之上的层。内核没动，动的是"谁能以什么身份调用什么"。

"agent 就是一个应用。" 它有独立身份、长会话、自己的资源占用，能被同事像人一样叫。把它当应用管，权限模型一定出问题。

"本地模型可以替代云模型。" 演示跑的是一台预发布的高配笔记本，40 tok/s 也只够轻量任务。短期内它更像分流：简单的本地做，复杂的上云。

这轮操作系统之争，比的不是谁的内核更聪明，是谁先把 agent 当成一个需要工牌、工位和监控的新员工。

功能与价格以官方公告为准。本文写于 2026 年 10 月 19 日。