Windows 11 提供三重原生防护：启用“应用执行控制”激活 AppContainer 容器化隔离；配置组策略强制低完整性启动（专业版及以上）；启用 Windows Sandbox 实现物理级隔离，需满足版本与虚拟化要求。
你需要在 Windows 11 中运行来源不明的 EXE、绿色工具或破解软件时，防止它读取文档、调用摄像头、写入注册表或注入浏览器进程，就必须启用系统原生的“应用隔离”保护机制——它不靠第三方杀软，而是通过 AppContainer 容器化沙箱、低完整性进程启动和受控文件夹访问三重底层约束，让未知软件在受限边界内运行。
通过 Windows 安全中心启用 AppContainer 运行隔离
这一步直接激活系统对已签名 Win32 应用的自动容器化支持，无需改注册表或装插件，适合所有用户快速启用基础防护。
按下 Win + I 打开“设置” → 左侧点击“隐私和安全性” → 右侧点击“Windows 安全中心”。
点击“应用与浏览器控制”卡片 → 向下滚动至“基于声誉的保护”区域 → 点击“应用执行控制设置”。
将“启用应用执行控制”开关设为【开】；该开关是 AppContainer 隔离生效的前提，关掉则后续所有策略形同虚设。
同步确保下方“受控文件夹访问”也处于启用状态；它会拦截未授权程序对桌面、文档、图片等关键目录的写入行为，哪怕进程已绕过签名检查。
系统提示重启后点击“立即重新启动”，新策略将在下次开机时加载。
配置组策略强制低完整性启动（专业版/企业版/教育版）
此方法绕过图形界面限制，直接修改系统级策略，确保所有经微软声誉验证的安装程序（如正规厂商发布的 MSI 封装器）强制以低完整性级别启动，无法写入 HKEY_LOCAL_MACHINE、无法注册系统服务、无法访问其他用户文件夹。
第一步：按下 Win + R，输入 gpedit.msc 并回车，以管理员权限打开本地组策略编辑器。
第二步：依次展开路径：计算机配置 → 管理模板 → Windows 组件 → App Package Deployment。
第三步：在右侧双击“启用应用容器化部署”策略 → 选择“已启用” → 点击“确定”。
注意：【此策略仅对带有效数字签名且通过微软声誉验证的安装程序生效】，自签名或无签名程序不受影响，必须配合智能应用控制使用。
关闭组策略编辑器，重启系统使配置生效。
启用 Windows Sandbox 实现物理级隔离
当你需要测试高风险安装包（如来历不明的 EXE 或带驱动的工具），又不想让它接触真实系统时，Sandbox 是唯一能提供完全物理隔离的方案——每次启动都是干净镜像，关闭即销毁全部痕迹。
确认系统版本：按 Win + R 输入 winver 回车，版本名称中必须含 Professional、Enterprise 或 Education。
确认虚拟化就绪：按 Ctrl + Shift + Esc 打开任务管理器 → “性能”选项卡 → 点击左侧“CPU”，右侧“虚拟化”状态必须为“已启用”；再点左侧“内存”，确认“已启用虚拟机平台”为是。
启用功能：按 Win + R 输入 optionalfeatures.exe 回车 → 勾选“Windows 沙盒” → 系统将自动勾选依赖项“虚拟机平台”和“Windows Hypervisor Platform” → 点击“确定” → 安装完成后点击“立即重新启动”。
