微软上线 Foundry 托管智能体：每个会话独享沙箱，空闲自动缩容至零

如果你试过在本地跑一个能写代码、改文件的 AI Agent，多半会惊叹它的能力。但要是老板让你把这个 Agent 部署给全公司几千人用，你大概率会冷汗直流。

因为传统的云原生容器根本不是给 Agent 准备的。如果两个同事同时调一个 Agent，Agent 又有读写文件和跑代码的权限，共用一个实例就是一场安全灾难。

微软在 Foundry Agent Service 中推出了托管 Agent（Hosted Agents）公开预览版，试图在底层算力上彻底解决这个问题。

一个会话一台虚拟机，哪怕休眠文件也不丢

传统的云服务要么是多会话共享容器，要么是给每个请求单独启一个无状态的沙箱。但 Agent 往往需要持续读写硬盘、沉淀上下文。

微软这次的做法很彻底：给每个 Agent 会话分配独立的 Hypervisor 级虚拟机沙箱，杜绝进程级别的混用。

更关键的是计费和持久化。这套系统支持缩容到零（Scale-to-zero），Agent 闲置时不产生费用；当新任务唤醒它时，不仅冷启动时间可预测，而且工作目录里的文件和磁盘状态完好无损，Agent 能直接从上次停下的地方继续干活。

同时，每个 Agent 都有自己独立的 Entra Agent ID 身份。在员工通过 Teams 发起调用时，系统通过 OAuth 2.0 代客操作（OBO）机制继承用户权限；跑后台自动化任务时，则使用托管身份鉴权。

在框架上，微软没有搞排他，支持 LangGraph、Claude Agent SDK、OpenAI Agents SDK 以及 GitHub Copilot SDK，甚至可以用一条 azd deploy 命令直接完成部署。

顺手打包了全套企业工具箱

除了底层算力沙箱，微软这次还掏出了一整套配套组件。

他们正式发布了 Microsoft Agent Framework 1.0 版，将此前的 Semantic Kernel 和 AutoGen 底层合并为一个稳定框架。

另外还有处于预览阶段的 Toolbox 和 Memory。Toolbox 让开发者把工具一次性配好，就能对接任何 MCP 客户端，并自带逐层展开上下文和权限流转；Memory 则直接提供托管的长期记忆能力，开发者不用自己再去搭外部向量库或数据库。

打通了底层后，这些 Agent 可以一键发布到 Microsoft Teams 和 M365 Copilot 中，直接在员工日常工作的界面上干活。

为什么重要

过去两年里，写一个能跑通 demo 的 Agent 门槛越来越低，但企业真正落地的却寥寥无几。卡住大家的从来不是大模型本身够不够聪明，而是最脏最累的工程基建：怎么保证数据不串台、代码执行别把服务器搞崩、没人用的时候怎么别白烧钱。

我们认为，微软这一步走得极其刁钻且务实。它没有去卷单一模型，而是把自己的传统优势——企业级基础设施、虚拟化隔离、Entra 身份体系和 Teams 分发渠道——做成了一个针对 Agent 负载的「标准机房」。

这种把 Hypervisor 隔离与文件系统持久化、缩容到零结合的做法，打中了大多数企业 IT 部门的安全痛点。企业想试水 Agent，现在不再需要自己去折腾一套复杂的 Kubernetes 动态调度和沙箱清理逻辑。

不过，这种架构在成本上依然需要打个问号。虽然支持缩容到零，但底层 Hypervisor 虚拟机的生命周期管理和快照存储，在大规模并发下的综合账单会不会远高于传统容器，仍需企业在实际业务中验证。但无论如何，云厂商之间的较量，已经正式从「谁的模型更聪明」转向了「谁能把 Agent 稳稳托住」。