Windows 上的 AI Agent 會亂動我的檔案嗎?agent workspace、agent 帳戶與權限完整解析

⚡ 站長快讀:核心重點

• 文章屬性:深度解析(安全架構)
• 適用系統:Windows 11(相關設定與原則於查證日仍標示預覽)
• 難易度 / 耗時:⭐⭐ / 約 20 分鐘
• 核心結論:關鍵是一個裝置層級的開關——預設關閉,而且只有系統管理員能開。
• 適用對象:想開 Copilot Actions 又怕它亂翻檔案的人,與要替公司決定擋不擋的 IT。

📌 快速答案

一句話答案:Windows AI agent 權限由 agent workspace 與獨立 agent 帳戶控管,功能預設關閉,開啟後代理只讀寫六個已知資料夾,其餘位置須使用者授權,共用可讀位置除外。

🧰 開始前的準備

• 系統需求:Windows 11。實驗性代理功能與相關管理原則目前仍在預覽階段,微軟 Learn 的 WindowsAI 原則文件在查證日標示的適用作業系統為 Windows Insider Preview,一般零售版電腦不見得看得到這些選項。
• 權限需求:官方明載啟用這個功能需要以系統管理員帳戶登入(關閉端官方未有同等明文);企業端要下原則則需要 MDM(如 Intune)或群組原則的管理權。
• 需要工具:Windows 設定(ms-settings:)、Windows PowerShell(只用唯讀查詢指令)、企業端另需 MDM 主控台。
• 預計耗時:讀完約 20 分鐘,實際檢查一台電腦約 5 分鐘。
• 難度門檻:只要會開「設定」就能完成檢查;MDM 原則段落是寫給 IT 看的,個人使用者可以跳過。

🔍 為什麼你需要搞懂這件事

先講結論:會不會亂動檔案,取決於你有沒有把那個開關打開,以及你事後按了幾次「允許」。

2025 年 10 月起,微軟開始在 Windows 11 裡放進「代理」這一層。Copilot Actions 這類代理不是只會回話的聊天機器人,它會用視覺辨識與推理去點擊、輸入、捲動,像人一樣操作你的應用程式與檔案(不熟悉這個概念的,可以先看AI Agent 是什麼?讓 AI 幫你操作電腦、自動完成工作的原理、現況與風險)。能點擊就代表能刪除、能覆寫、能寄出——這就是所有疑慮的來源。

這篇要拆的是三個大多數中文報導沒講清楚的點:

第一,agent workspace 不是虛擬機。 隔離邊界是「另一個 Windows 工作階段 + 另一個本機帳戶 + 存取控制清單」,不是 Hyper-V 那種硬體級沙箱:擋得住畫面竄改與跨工作階段外洩,擋不住本來就開放給所有帳戶讀取的位置。

第二,這是裝置層級的開關。 微軟支援文件寫得很直白:只有裝置的系統管理員能開啟,一旦開啟裝置上所有使用者都適用,包含其他系統管理員與標準使用者。家裡共用一台電腦的人請讀兩遍。

第三,企業真正的閘在 MDM,不在「設定」裡。 而那組原則在官方文件上不適用 Pro 版——只列了 Enterprise、Education 與 IoT Enterprise。

🧱 agent workspace 到底是什麼:一個給 AI 用的平行桌面

直接結論:agent workspace 是 Windows 另外開的一個工作階段,代理在裡面有自己的桌面,和你正在用的桌面平行執行、互相看不到對方的畫面。

微軟支援文件對這個初期預覽版本的描述是:agent workspace 執行在獨立的 Windows 工作階段,讓代理可以和你的工作階段平行地操作應用程式;對常見操作而言,這樣的架構比 Windows Sandbox 那種完整虛擬機更有效率,同時仍提供安全隔離、平行執行的能力,並讓使用者保持控制權。

換句話說,它走的是 Windows 既有的工作階段隔離老路,而不是為 AI 發明一套新沙箱。好消息是官方明確說 agent workspace 建立在「公認的安全邊界」上,並依既有安全維護準則修補;壞消息是工作階段隔離擋的是畫面、輸入與工作階段之間的東西,擋不住檔案系統層面本來就共用的部分。

到了 2026 年 6 月的 Build 大會,微軟把這套東西整理成一個更大的框架:Microsoft Execution Containers(MXC)SDK,一個跨 Windows 與 WSL、由原則驅動的執行層,開發者定義「要限制什麼」,Windows 在執行階段負責強制。官方把容器化程度畫成一條光譜,以下取其中與本文最相關的三層對照(同一條光譜另有 Linux 容器,以及把代理推到雲端 Cloud PC 的 Windows 365 for Agents):

重點摘要:

• 依官方兩份文件的描述推斷,agent workspace 的隔離方式與 MXC 的工作階段隔離同屬一層(支援文件說它「跑在獨立的 Windows 工作階段」),不是最強的那一層;不過 2026-06-02 那篇開發者文章談隔離層級的段落講的都是 MXC,並未逐字點名 agent workspace。
• 官方自己也寫明,研究顯示大型語言模型正在發展出逃脫沙箱的能力,Micro-VM 就是為了這件事列在藍圖上。
• MXC 工作階段隔離的首波釋出支援的是非互動式工作階段,更多能力留給後續版本(處理序隔離另外走,GitHub Copilot CLI 已採用)。這個限制講的是 MXC 首波釋出,不是 agent workspace——支援文件明寫 agent workspace 會給代理「自己的桌面」。
• 這三層都不是「防毒」,它們降低的是出事後的影響範圍,不是出事的機率。

🔐 agent 帳戶:它用的不是你的帳號

直接結論:代理跑起來的時候,用的是 Windows 另外建立的一個標準帳戶,不是你的帳戶;依官方原則,它也不得被授予系統管理權限。

微軟 Learn 安全章節列的四項代理安全與隱私原則裡,第一項就是「獨立的 agent 帳戶」:代理以專屬帳戶運作,可以套用與人類使用者不同的原則;你要分享檔案給它,就像分享給家人或同事那個本機帳戶一樣。實際執行時,Copilot Actions 驅動的應用程式與動作跑在 agent 帳戶底下,而不是登入中的使用者帳戶,好處是系統上哪些事是代理做的、哪些是人做的,分得開。

分得開這件事有正式名稱:不可否認性(Non-repudiation)——代理所有動作都要可觀察、且能與使用者的動作區分;這是支援文件另外列的三個目標之一,另兩項是機密性與授權(使用者核准所有對個人資料的查詢與所有動作)。同一份支援文件在六項原則裡進一步要求代理必須能產生活動記錄,而 Windows 應能以防竄改的稽核記錄驗證這些動作。

最小權限的部分,支援文件的六項原則寫法很硬:代理的權限不得超過發起它的使用者,包含不得授予系統管理權限;授權應該是細緻的、特定的、有時限的。另外還有一條容易被忽略:系統上的其他實體(系統管理員、Local System 等)不應該對代理有特殊存取權,只有它所代理的那位擁有者可以。

這三件事湊起來,才是「Windows AI agent 權限」這個詞真正的內容:身分獨立、權限受限、行為留痕。至於 Copilot 本身在 Windows 上還能做哪些事,站長之前寫過Windows Copilot 完整教學,可以對照著看哪些功能是需要代理權限、哪些不用。

⚠️ 一個現實面的提醒:agent 帳戶只有在你啟用 agent workspace 之後才會被建立。企業環境還有個已知問題——使用 Endpoint Privilege Management 的環境,可能會看到替 agent 帳戶建立的 Intune 受管設定檔在對話結束後沒有被清掉,這些設定檔通常以錢字號($)結尾,位置就在 C:\Users 裡。微軟表示已知悉並在修復中。

📂 檔案存取範圍:它到底看得到哪些東西

直接結論:預設是六個已知資料夾,其他地方要你點頭;但「所有已驗證使用者都能讀的位置」不在這個清單的保護範圍內。

微軟支援文件列得很明確,啟用實驗性代理功能後,在 agent workspace 裡執行的代理式應用程式可以要求並取得你使用者設定檔底下這六個常用資料夾的讀寫權限:

這六個資料夾即使你做過重新導向(例如改到 D 槽或 OneDrive),也是以已知資料夾的身分被授權。這裡有三件事要記牢:

1. 超出這六個資料夾的位置,要你另外授權。 官方寫法是:Copilot Actions 只有在使用者提供授權時,才能存取這些資料夾以外的資料;把關的是存取控制清單(ACL)這類標準 Windows 安全機制。
2. 有一類位置不受這個開關保護。 支援文件直說:agent 帳戶可以存取「所有已驗證使用者都有權存取的任何資料夾」,例如公用使用者設定檔。也就是說,你如果習慣把東西丟在 C:\Users\Public 或某個所有人都能讀的共用資料夾,那不在「六個資料夾」的討論範圍內,它本來就看得到。
3. 從預覽組建 26100.7344 起,可以逐一代理管理。 代理要求存取這六個資料夾時,Windows 預設會跳出視窗問你要不要同意——官方用的字是 preview builds,零售通道不見得已有。

逐一管理的位置在:設定 → 系統 → AI 元件 → 代理程式(Agents),點進你要管的那個代理,找到「檔案(Files)」區段,三選一:

• 一律允許(Allow Always):代理需要時就能存取這六個已知資料夾。
• 每次詢問(Ask every time):每次要用都跳出來問你。
• 永不允許(Never allow):代理提出要求時,Windows 直接拒絕。

同樣是從預覽組建 26100.7344 起,代理連接器(agent connectors)預設也會被關進 agent workspace 裡執行。代理連接器本質上是 Model Context Protocol(MCP)伺服器,扮演代理與你的 Windows 應用程式、系統工具之間的橋梁,開發者把它註冊到 Windows 的裝置端登錄(On-Device Registry,ODR);Windows 會先取得你的許可,才讓代理去跑這些連接器。

🛡️ 真正該怕的不是「亂刪檔案」,是跨提示詞注入

直接結論:官方點名的頭號新風險是跨提示詞注入(XPIA),它讓攻擊者不必碰你的電腦,只要讓代理讀到一份檔案就好。

微軟在 Learn 的安全文件與支援文件都寫了同一段警告:代理式 AI 帶來新型態的安全風險,例如跨提示詞注入(cross-prompt injection,XPIA)——藏在 UI 元素或文件裡的惡意內容,可以覆蓋代理原本的指令,導致資料外流或安裝惡意程式這類非預期行為。同一段也直說,AI 模型今天在行為上仍有功能限制,偶爾會出錯、產生非預期輸出。

白話講:你叫它「幫我整理下載資料夾」,而裡面有一份夾帶惡意指令的 PDF,代理讀取內容時可能把那份 PDF 的句子當成你的新指令。隔離解的是「出事之後能搞多大」,不是「會不會出事」。攻擊原理與自保方式,站長另外寫過一篇提示詞注入攻擊是什麼?AI Agent 的頭號資安風險,建議在開啟任何代理功能前先看完。

防守面,2026 年 6 月的官方說法是 Defender 已提供針對提示詞注入等新興代理威脅的即時防護,並強調這些保護對所有 Windows 使用者可用,包含以 Windows Defender 作為主要防毒的一般消費者。這是官方陳述,不是站長實測,請當成「有在做」而不是「已經解決」。

🛠️ 停用、限縮與稽核:三種身分的做法

⚠️ 執行前先確認:以下動作會改變裝置上所有使用者的代理功能可用性。公司或學校配發的電腦請先取得 IT 授權再動;動手前建議先建立系統還原點,或至少記下目前的設定狀態(誰開著、哪些代理拿到哪些資料夾),以便回復。

停止條件(符合任一請先停手):你不確定這台電腦是否受公司原則管控、找不到文中提到的設定頁面(代表你的版本尚未包含此功能)、裝置上有其他人正在使用代理跑工作。

一般使用者:把總開關關掉

微軟支援文件給的路徑是 設定 → 系統 → AI 元件 → 實驗性代理功能,把它關掉即可;關掉之後,對那六個已知資料夾的授權也一併收回。

⚠️ 這裡有個官方文件之間的不一致必須說清楚:Learn 上的《Windows 11 安全性》章節寫的路徑多一層,是 設定 → 系統 → AI 元件 → 代理工具(Agent tools) → 實驗性代理功能;支援文件(編者註載明的最後一次內容更新為 2025-12-05)則沒有「代理工具」這一層。兩份都是微軟官方文件,實際路徑請以你機器上的「設定」為準,兩條路徑找不到就代表你的版本還沒有這個功能。

想用但想管緊:逐一代理設定

不必全關,可以走前面提過的 設定 → 系統 → AI 元件 → 代理程式 → (選代理) → 檔案。依官方說明,預設行為就是每次詢問——代理要動這六個資料夾時 Windows 會跳出來要你同意;想更緊就改成「永不允許」,真的要它整理檔案時再臨時放行。反過來說,為了省事把它改成「一律允許」,等於自己把這道閘拆了。

IT:用 MDM 原則硬擋

微軟 Learn 的 WindowsAI 原則 CSP(文件日期 2026-06-22)裡,與代理直接相關的設定以下為節錄(同一份 CSP 另有 ConfigureAgentConnectors、DisableRemoteAgentConnectors、AgentConnectorAccessPolicy、AgentConnectorMinimumPolicy、DisableSettingsAgent 等,實務上要一併盤點),全部是裝置範圍:

重點摘要:

• 要整台擋掉,是把 DisableAgentWorkspaces 設成 2(強制停用),不是設 1。
• AgentConsentDuration 的存在等於官方承認同意是會過期的;預設 30 天,高敏感環境可以壓到更短。
• 想在調查事件時多留一點軌跡,OnDeviceRegistryLoggingLevel 可以往上調,但記錄量也會跟著漲。
• 這四條原則在文件上的適用版本是 Enterprise、Education、IoT Enterprise / IoT Enterprise LTSC,Pro 版被標為不適用;適用作業系統標示為 Windows Insider Preview。用 Pro 版的小公司目前只能靠裝置端的設定開關。

檢查這台電腦現在是什麼狀態

唯讀查詢,不會改到任何設定:

# 列出本機帳戶,看看有沒有多出你不認得的帳戶
Get-LocalUser | Select-Object Name, Enabled, Description

# 看看使用者資料夾底下有哪些設定檔(含以錢字號結尾的殘留設定檔)
Get-ChildItem C:\Users -Force | Select-Object Name, CreationTime

看到不認得的帳戶先不要急著刪——先確認它是不是代理功能建立的 agent 帳戶,把總開關關掉才是正確順序。

🔙 萬一翻車:回退步驟

情境一:開了之後覺得怪,想全部收回

回到 設定 → 系統 → AI 元件 → 實驗性代理功能,關閉總開關。依官方說明,關閉即收回對那六個已知資料夾的存取。

情境二:只是某個代理拿太多權限

設定 → 系統 → AI 元件 → 代理程式 → (該代理) → 檔案 → 永不允許。不必動總開關,也不影響其他代理——每個代理有自己的工作區與自己的權限,一個代理拿到的東西不會自動套用到另一個。

情境三:企業裝置被使用者自行開啟

下 DisableAgentWorkspaces = 2(強制停用)與 DisableAgentConnectors = 2,原則生效後裝置端的開關就不再由使用者決定;同一份 CSP 的其餘代理原則(遠端連接器、連接器存取清單、設定代理)請一併檢視,只下這兩條可能留缺口。若懷疑期間發生過資料存取,請依公司的事件處理流程處理,並將 C:\Users 底下殘留的代理相關設定檔納入檢查範圍。

情境四:關掉之後系統行為怪怪的

官方在組建 26220.7262 之後列了三個已知問題,其中兩個與關機行為有關:Copilot 有進行中的對話時,Windows 不會進入睡眠;關機或重新啟動時可能跳出「其他人仍在使用這台電腦,現在關機可能會遺失未儲存的工作」(第三個是前面提過的 Intune 受管設定檔未被清除)。官方給的暫時解法是關閉所有 Copilot Actions 對話,或從系統匣圖示按右鍵選「結束」。

💡 總結:站長怎麼看這件事

微軟做對的地方:把代理當成另一個使用者,而不是你本人的一部分。一旦代理有了自己的帳戶、工作階段與存取控制清單,稽核、撤權與最小權限才有地方掛;若代理直接繼承你的權杖,前端同意視窗做得再漂亮,底層都是空白。

要盯著的有三點:隔離強度只到工作階段層(Micro-VM 還在藍圖上,官方理由是模型正在發展出逃脫沙箱的能力);共用可讀位置是天然破口,六個資料夾的授權再細,也管不到本來就開放給所有已驗證使用者的路徑;同意疲勞,預設「每次詢問」被問久了就會變成無腦按允許,AgentConsentDuration 預設 720 小時等於承認了這件事。

現在該不該開?電腦裡有工作機密、財務資料或客戶個資的人,站長建議先不要開,等離開預覽、權限控制更細再說;想先玩的人至少做兩件事:把要處理的檔案集中到一個資料夾、把該代理的檔案權限設成「每次詢問」。本文描述均取自微軟官方文件於 2026-09-11 之查證,不含第一手實測宣稱;功能仍在預覽,細節隨時可能改變。

❓ 常見問題

Q:開了之後,AI 會看到我電腦裡全部的檔案嗎?

不會。依官方說明,預覽階段代理能取得的是使用者設定檔底下六個已知資料夾(文件、下載、桌面、音樂、圖片、影片)的讀寫權,其他位置必須由你另外授權,由 ACL 等既有機制把關。但要注意例外:所有已驗證使用者本來就能讀的位置(例如公用使用者設定檔)不在這層保護內。

Q:可以整個關掉嗎?

可以。個人端在「設定 → 系統 → AI 元件 → 實驗性代理功能」關閉總開關;企業端用 MDM 把 DisableAgentWorkspaces 設為 2(強制停用)。要注意這個開關是裝置層級:只有系統管理員能開,一旦開啟,裝置上所有使用者都適用。

Q:agent 帳戶跟一般使用者帳戶差在哪?

agent 帳戶是裝置上一個獨立的標準帳戶,只在你啟用 agent workspace 後才會建立。依官方原則,它的權限不得超過發起它的使用者,也不得取得系統管理權限,而且它的所有動作都必須可觀察、可與人類使用者的動作區分。

Q:如果代理被騙了,做出我沒有要它做的事,怎麼辦?

第一步是立刻在工作階段裡接管或停止代理的動作——官方在設計上就保留了使用者隨時監看與接手的能力。事後先關閉總開關或把該代理的檔案權限改成「永不允許」,再檢查受影響的資料夾與帳戶。若懷疑是文件或網頁內容造成的跨提示詞注入,請保留該檔案作為證據;企業環境請走內部資安事件流程,並可透過 Windows「意見反應中樞」向微軟回報。本文為技術說明,不構成法律或合規建議。

🔗 延伸閱讀

• Copilot Tasks 完整教學:AI 幫你把待辦做完,怎麼追蹤、暫停與收回控制權——同一套「授權給 AI 之後怎麼收回控制權」的思路,在雲端側的做法。
• Windows 11 移除 AI 元件教學:Copilot 與影像 AI 模型怎麼拔乾淨——不只想關開關、想把元件本身移掉的人看這篇。
• AI 瀏覽器是什麼?2026 代理瀏覽器現況全解析——瀏覽器裡的代理面對的是同一組權限與注入問題,可以對照看兩邊的邊界怎麼畫。

📎 參考資料來源

📖 第一級|廠商官方:

• Windows 11 security book — Securing AI agents on Windows — 2026-09-11 查證
• Experimental Agentic Features(Microsoft 支援) — 2026-09-11 查證
• WindowsAI Policy CSP — 2026-09-11 查證
• Windows platform security for AI agents(Windows Developer Blog,2026-06-02) — 2026-09-11 查證
• Known folders(Windows 應用程式開發文件) — 2026-09-11 查證

⚠️ 本文核心事實以第一級為準;全文為官方文件交叉查證之解析,不含站長第一手實測。

📅 本文查證戳記:2026-09-11 依微軟官方文件撰寫。功能仍處預覽階段,若你在後續版本看到不同的設定路徑或選項,歡迎在留言區回報,站長會更新文章。