Microsoft verband beim Windows- und Surface-Ereignis am 7. Oktober 2026 zwei Assistentenaufgaben: Informationen finden und den Computer bedienen, der sie speichert. Der Copilot-Plan umfasst Dateikontext, Dokumentordnung, Diagnose, Fehlerbehebung, Programmierung und mehrstufige Abläufe auf unterstützten Copilot+-PCs. Entscheidend ist Befugnis über die Umgebung, nicht nur eine schnellere Antwort.
Die von The Verge beschriebene Autopilot-Demo suchte Steuerunterlagen in mehreren Ordnern, benannte sie um, komprimierte ein Archiv und entwarf eine Mail an den Steuerberater mit Anhang. Entwerfen ist nicht Senden. Jeder Übergang ändert Dateien, schafft ein Artefakt oder bereitet externe Weitergabe vor, trotz eines einzigen natürlichsprachlichen Ziels.
Der Rollout hat mehrere Uhren
Frühere semantische Suche verstand Bedeutung statt exakter Namen. Eine Insider-Vorschau vom August 2025 fand Lebenslauf oder Foto; Nutzer wählten die Datei ausdrücklich fürs Gespräch aus. Suche allein autorisierte keine anwendungsübergreifende Aktionsfolge.
Der neue Hybridplan verbindet erlaubte Suche und Ausführung. Separate Search-Aktionen ändern Dunkelmodus, Ton, Fenster oder eine kurze Nachricht über die Taskleiste. Microsoft nennt Tausende Möglichkeiten; diese unterscheiden sich vom großen Agentenablauf der Steuerdemo.
Search-Aktionen begannen am 7. Oktober im experimentellen Insider-Kanal. Hybrider Copilot sollte über kommende Monate auf Copilot+ ausrollen, abhängig von Gerät, Markt und Chip. Demo und Roadmap bedeuten keine vollständige Erfahrung für die meisten Kunden.
Gleichzeitig meldete Microsoft allgemeine Verfügbarkeit von Execution Containers, MXC. Das betrifft eine Isolationskomponente, nicht jede Verbrauchererfahrung mit allen Sicherheitslagen. Experimentelle Oberfläche, künftiger Rollout und verfügbare Infrastruktur dürfen nicht zu einem fertigen Produkt verschmelzen.
Windows kann Aktionen statt Mausimitation anbieten
Fremde Computeragenten nutzen APIs, Barrierefreiheit, Browser oder Screenshots. Windows kann strukturierte Dateien, Einstellungen, App-Aktionen, Identitäten und Hardware in einem Berechtigungssystem erschließen. Definierte Aktionen reagieren möglicherweise robuster auf verschobene Schaltflächen, garantieren aber keine richtige Auswahl.
Hybride Intelligenz verlagert leichte Schritte lokal für geringere Latenz, ausgewählten Datenschutz und weniger Ferninferenz. Stärkere Cloudmodelle helfen bei schwierigen Schritten. Ein langer Ablauf kann Kontext über beide erhalten.
Microsoft nennt über zwei Billionen lokale Inferenzen monatlich und mehr als 40 Prozent Copilot+ unter geschäftlich gebauten Laptops. Das sind Unternehmenszahlen, keine unabhängig geprüften Nutzungs- oder Sicherheitsmessungen. Sie illustrieren Verteilung, nicht Verlässlichkeit.
Das Spektrum reicht von NPU-Alltagsgeräten zu Builder-Hardware. Surface Laptop Ultra mit bis zu 128GB und über 120 Milliarden Parametern ist keine normale Bürogerätespezifikation. Der Hardwarestart bleibt von der Softwarefrage getrennt: Welche erlaubte Aktion kann das Modell durchführen?
GitHubs kommendes lokales Modellsystem soll lokal oder cloudgroß wählen, Entwickler können lokal ausdrücklich setzen. Dieselbe Dokumentation warnt: Lokale Inferenz macht eine Sitzung nicht offline. Modell, Werkzeuge, Netzwerk und Dateien haben eigene Grenzen.
Dateifund ist keine Pauschalerlaubnis
Vertrauen betrifft Modell, Kontextdateien, Werkzeuge, Ziele und Aktionen ohne erneute Bestätigung. Projektordnung kann mehrere Ordner benötigen, bedeutet aber nicht Upload, Originale löschen oder Außenstehende kontaktieren.
Agent Workspace ist eine abgeschirmte Windows-Umgebung mit eigener Agentenidentität und begrenzten genehmigten Ressourcen. Einzeldateien und Ordner lassen sich gewähren, außerhalb braucht es erneute Freigabe. Regeln und Aktivitätsaufzeichnungen sollen begrenzen und sichtbar machen, nicht die gesamte menschliche Sitzung übergeben.
MXC setzt Regeln für Dateien, Netzwerk, Prozesse, Zugangsdaten und Systemfähigkeiten um. Agent 365 ergänzt Erkennung und Verwaltung. Die Ankündigung weist auf komplementäre Schichten, erklärt aber nicht jede Verbraucherimplementierung.
Auch konsistente Durchsetzung entscheidet nicht jede Bedeutung. Erlaubtes Dokumentbearbeiten zeigt nicht, ob die erschlossene Änderung gewollt ist. Fund, Umbenennung, Archiv und Anhang sind verschieden. Die Oberfläche sollte Dateien, neue Namen, Inhalt, Empfänger und Entwurfsstatus zeigen.
Eine Wissensbasis ordnet genehmigten Kontext und Quellen. Der OS-Agent verändert die Quellumgebung und braucht höhere Autorisierung. Unternehmensklassifikation, Aufbewahrung, Identität, externe Kommunikation und Audit unterscheiden sich bei Familienfotos und Rechts- oder Kundendaten.
Eine legitime Aufgabe trifft dennoch feindliche Inhalte
Microsoft nennt Cross-Prompt-Injection: Verborgene Anweisungen in Dokumenten, Seiten, Nachrichten oder Oberflächen können als Befugnis missverstanden werden. Auch relevantes Material, das Nutzervorgaben überschreibt, bleibt unvertrauenswürdiger Inhalt.
Eine heruntergeladene Rechnung könnte anweisen, eine fremde Zugangsdaten-Datei ins Archiv zu nehmen. Das Ziel ist legitim, der Zwischenkontext vergiftet. Aus einer falschen Zusammenfassung können Dateiänderung, Befehl und Übertragung werden.
Eine unabhängige Dateigrenze blockiert die Zugangsdaten, Netzregeln unbekannte Ziele, eine Anhangsvorschau zeigt unerwarteten Inhalt. Das erfordert keine perfekte Angriffserkennung. Modellfilter sind probabilistisch und ändern sich durch Update, langen Dialog oder Routing.
Unterschiedliche Modelle und Widerstandsfähigkeit machen externe Durchsetzung wichtig. Datei- und Netzregeln müssen gelten, wer auch immer einen Schritt verarbeitet. Wichtige Aktionslogs sollten Modell, Werkzeug, Identität und Regel nennen, statt Nutzer interne Gedankengänge entschlüsseln zu lassen.
Ergebnisorientierung muss Zustand sichtbar lassen
Copilot macht Apps zu Zielschritten: Mail verarbeitet die Nachricht, Archivsoftware packt, Windows speichert, der Agent koordiniert. Zwölf zusammengehörige Dokumente finden und vereinheitlichen rechtfertigt dies eher als ein einzelnes Umbenennen.
Diagnose, jüngste Aktivität, erlaubte Einstellung und Ergebnisprüfung könnten Fehlerbehebung verbinden. Entwickler können privaten Code, lokale Inferenz, isolierte Tools und Cloud kombinieren. Das ist vielversprechend, kein Beleg für tägliche Erfolgsraten wie in der Demo.
Sprache spart Menüsuche, kann aber verfügbare Alternativen und Systemzustand verbergen. Vorschau, verständliche Historie und Wiederherstellung sind nötig. Änderungen sollten möglichst rücknehmbar sein, Entwürfe bis zur klaren externen Freigabe Entwürfe bleiben.
Zu viele Unterbrechungen fördern Blindfreigabe oder Abbruch, breite Dauerrechte überleben die Aufgabe. Gute Bestätigung nennt Operation, exakte Ressourcen, externes Ziel und umkehrbare oder endgültige Wirkung, nicht nur einen Zugriffswunsch.
Ähnliche Kundennamen, Vertragsversionen oder falsch eingeordnete Privatdateien führen auch ohne Angriff zur falschen Auswahl. Enge Grenzen und Vorschauen reduzieren Folgen trotz selbstsicherem Modell.
Recall ist nicht dasselbe Produkt
Recall sollte vergangene Aktivität aus lokalen Bildschirmaufnahmen finden und wurde nach Sicherheitskritik verschoben und umgebaut. Copilot-Aktionen sind absichtliche Anfragen und erlaubte Operationen, keine ständige Bildaufzeichnung. Der Vergleich behauptet keinen identischen Mechanismus.
Gemeinsam bleibt: Lokale Speicherung beantwortet Zugriff, Einwilligung, Aufbewahrung und Angriffsfläche nicht. Ein lokales Modell nutzt Onlinewerkzeuge, ein Cloudmodell kann eng begrenzten Kontext erhalten. Wechsel zwischen Suche, Denken und Änderung müssen verständlich bleiben.
OS-Verteilung ist ein Vorteil gegenüber eigenständigen Assistenten und Apps. Apple und Google vertiefen ihre Systeme, OpenAI und Anthropic entwickeln Computerbedienung und Partnerschaften. Windows-Reichweite verstärkt auch Fehler: Ändern und Übertragen kostet mehr als eine unhilfreiche Chatantwort.
Die brauchbare Messung folgt der Demo
Erstens braucht der Copilot+-Rollout konkrete, zeitweilige, widerrufbare Rechte und klare Vorschau externer Wirkungen, keine Freigabemüdigkeit oder verborgenen Großrechte.
Zweitens zählen wiederholte unterschiedliche Aufgaben mit Abschlussrate, Zeitgewinn nach Prüfung, falschen Dateien und Eingriffen. Lokal und Cloud müssen nach Fähigkeit und Datenbehandlung verglichen werden. Mehr Prüfaufwand als Handarbeit verfehlt den Zweck.
Drittens sollte Governance um Ignite im November und spätere Releases Erkennung, begrenzte Tools, Vorfallprüfung und bestehende Identitätsregeln konsistent zeigen. Protokolle müssen nützlich bleiben, ohne neue unkontrollierte Privatkopien.
Es geht nicht darum, die Steuerdemo einmal zu schaffen. Menschen müssen Plan und Umfang verstehen, richtig erlauben, Ergebnis prüfen und chaotische Arbeit zurücknehmen oder stoppen können. Tieferer Zugriff ist nur ein Vorteil, wenn die erteilende Person ihn weiter begreift.
Quellen
Frühere semantische Suche · Windows-Hybridplan · Bericht zur Copilot-Demonstration · GitHub-Modelle und isolierte Werkzeuge · Referenz zu Wissensbasen · Windows-Agentensicherheit