Foundry управляет агентом, Sandboxes — его работой: Microsoft открыла изолированное выполнение агентов

Работа, которой не подходит прежний шаблон

Microsoft начинает с описания сдвига: работа, которую раньше фиксировали детерминированным кодом, где каждая ветка определена заранее, переписывается как многоагентные приложения, которые прорабатывают шаги во время исполнения. Разработчик больше не прокладывает путь заранее, а описывает результат и позволяет набору агентов искать дорогу к нему.

Агент работает в цикле: обдумывает задачу, разбивает её на шаги, пишет код, запускает его, смотрит на результат и повторяет; внутри этого цикла не стоит человек. По формулировке Microsoft, приложение, которое отвечает, и агент, который действует, требуют под собой очень разных вещей.

Что требуется агенту, которому доверяют

Пилот и продакшен разделяет не интеллект модели: агент, работающий за компанию постоянно, попадает под те же требования, что и всё остальное в продакшене. Ему нужна собственная идентичность с правами, ограниченными тем, что ему разрешено видеть, наблюдение за работой с трассировкой каждого шага и оценкой результата, отслеживание тихой деградации, которая проявляется через недели после запуска, ограничения, применяемые в момент исполнения, и те же стандарты безопасности и соответствия, что и ко всей инфраструктуре.

Microsoft называет это работой платформы, а не отдельной команды: агенты строятся в Microsoft Foundry, опираются на корпоративные знания, получают полноценную идентичность через Entra Agent ID, а затем трассируются и оцениваются; Foundry Control Plane управляет агентом, но не решает, где именно выполняется его работа.

Где на самом деле выполняется работа

Как только агент переходит от ответов к выполнению задач, ему нужно запускать код: клонировать репозиторий, ставить пакет, прогонять анализ по живым данным и обращаться к системе учёта. По умолчанию он наследует среду, в которой уже работает хост-приложение, — просто потому, что это путь наименьшего сопротивления.

Отсюда ловушка, которую Microsoft описывает тремя сторонами: на общей инфраструктуре каждая нагрузка делит область поражения с остальными, широкие права дают автономному процессу больше доступа, чем задумано, а жёсткие ограничения лишают агента возможности выполнять свою работу. Именно на этом, по оценке компании, большинство перспективных агентов останавливается перед продакшеном.

Ответ, по версии Microsoft, — не урезать возможности агента, а дать ему выделенную среду со своей идентичностью и ограничениями исполнения. Это и есть Azure Container Apps Sandboxes: каждое выполнение агента получает полностью изолированную среду, которая создаётся за секунды и исчезает по завершении работы, работает под управляемой идентичностью, имеет доступ только к разрешённым системам и не хранит учётные данные, которыми пользуется. Если задача идёт часы или дни, среду можно приостановить и возобновить с целым рабочим контекстом.

Как это устроено

Каждая среда выполняется в собственной hardware-isolated microVM — именно это, по описанию Microsoft, позволяет одновременно получить сильное разделение и субсекундный запуск; изоляция встроена в рантайм, а не обёрнута вокруг него.

Песочница при этом не выпадает из-под надзора: агент остаётся управляемым Foundry, поэтому то, что он отправил в песочницу и что получил обратно, сохраняется в записи вместе с остальными шагами.

В документации Microsoft Learn сервис описан теми же свойствами: субсекундный запуск из прогретых пулов, изоляция для выполнения недоверенного кода, масштабирование до тысяч одновременных песочниц, отсутствие платы за CPU и память у остановленных песочниц, поддержка OCI-образов контейнеров как корневой файловой системы и приостановка со снимком состояния памяти и диска. Там же указано, что песочницы организованы в sandbox groups — верхнеуровневую границу управления в виде ресурса Azure Resource Manager, а для доступа нужны учётные записи Microsoft Entra ID.

Три заказчика: KPMG, Cognite и школы Южной Австралии

KPMG использует Digital Gateway Powered by Claude — платформу налоговой работы на Microsoft Azure, внутри которой DG Cowork служит рабочим пространством на базе ИИ. Поскольку данные клиентов должны оставаться разделёнными по проектам, платформа построена на отдельных рабочих пространствах и контролях, и в ней одновременно работают более 30 000 песочниц Azure Container Apps Sandboxes.

Cognite обслуживает промышленных операторов: агенты Atlas AI получают собственное управляемое рабочее пространство с живыми данными в Cognite Data Fusion, а расследования, которые раньше занимали дни, превращаются в прослеживаемые ответы за минуты. По словам архитектора Cognite Кристиана Фласхоффа, с песочницами прототип появился за часы, а тестирование с заказчиками началось через недели, потому что Azure берёт на себя изоляцию по пользователям, политики исходящего трафика и субсекундное исполнение.

Департамент образования Южной Австралии развивает EdChat — платформу, где 60 000 учеников и более 40 000 сотрудников учатся писать код и работать с данными вместе с ИИ. Условие такого сценария — у каждого ученика своя среда с понятными ограничениями, к которой можно вернуться и найти работу в том виде, в каком она осталась; по оценке департамента, переход на Azure Container Apps Sandboxes позволяет отказаться почти от 50 000 строк кода, написанных для самостоятельного управления состоянием интерпретатора.

Масштаб и решение о разделении

Microsoft утверждает, что инфраструктура давно работает в продакшене: более миллиона песочниц в сутки внутри самой компании, среди потребителей — GitHub Copilot, Copilot Studio, Security Copilot, Foundry Agent Service и Azure SRE Agent. Ту же архитектуру компания теперь открывает всем клиентам Azure.

Автор сообщения Майк Халм, генеральный менеджер по маркетингу продуктов Azure, формулирует выбор так: команды, которые будут масштабировать агентов в ближайшие годы, разделяют платформу управления агентом и среду выполнения его работы сейчас, а не достраивают это разделение после успешного пилота.