Understanding Windows 11 Smart App Control Security

•Smart App Control (SAC) 最初僅能在 Windows 11 22H2 或更高版本的全新安裝中啟用，但自 2026 年 4 月更新後，已可無需重新安裝系統即可開啟或關閉此功能。
•SAC 包含「評估模式」，在此模式下，它會在後台學習用戶的應用程式使用習慣，以判斷是否適合啟用全面保護，期間不會阻擋任何應用程式。
•SAC 是基於「商務用應用程式控制 (App Control for Business)」(即 Windows Defender 應用程式控制，WDAC) 構建的，並利用「智慧型安全圖譜 (Intelligent Security Graph, ISG)」進行雲端預測，同時也能阻擋來自網路的未知腳本檔案和巨集。
•微軟將 SAC 定位為一種主動式防禦解決方案，與傳統防毒軟體的事後反應式防禦機制形成對比，旨在應用程式執行前就預防威脅。

SAC 建構於「商務用應用程式控制 (App Control for Business)」(即 Windows Defender 應用程式控制，WDAC) 之上。
它利用微軟的雲端安全服務、應用程式情報服務及「智慧型安全圖譜 (Intelligent Security Graph, ISG)」進行應用程式的安全性預測。
該功能採用 24/7 運作的 AI 模型，這些模型基於兆級的威脅情報訊號進行推斷。
僅允許執行經數位簽章的程式碼，或經雲端服務預測為安全的程式碼。
若服務無法自信地預測未簽章程式碼的安全性，則會予以阻擋。
程式碼的信譽會隨著時間推移，根據接收到的新訊號而動態變化。
SAC 直接整合到作業系統核心的程序層級。
除了應用程式控制，它還能阻擋來自網路的未知腳本檔案和巨集，顯著提升日常用戶的安全性。
用戶可透過 Windows 安全性應用程式或修改登錄檔 (例如 HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy 下的 VerifiedAndReputablePolicyState DWORD 值) 來管理其開啟、關閉或評估模式。
啟用 SAC 可能需要虛擬化型安全性 (Virtualization-Based Security) 和核心隔離 (Core Isolation) 等安全功能。

軟體開發者將面臨更大的數位簽章壓力。

隨著 SAC 的普及，未經數位簽章的應用程式將更容易被預設阻擋，促使開發者更嚴格地遵循簽章規範以確保軟體可執行性。

Windows 生態系統的整體安全性將顯著提升。

SAC 的主動防禦機制，結合 AI 和雲端情報，能有效阻擋新型和未知威脅，減少惡意軟體和潛在垃圾軟體對用戶的影響。

企業級應用程式控制的部署將變得更加簡化和普及。

SAC 基於 WDAC 和 ISG，其技術下放至消費者層面，將為企業提供更成熟、易於管理的應用程式控制策略，減少對第三方工具的依賴。

2022-03

Smart App Control 首次在 Windows 11 Insider Preview Dev Channel (Build 22567) 中亮相。

2022-09

隨 Windows 11 版本 22H2 正式推出，但最初僅限全新安裝啟用。

2026-04

Windows 11 更新解除 Smart App Control 必須全新安裝才能啟用的限制，允許用戶直接開啟/關閉。

深入了解 Windows 11 Smart App Control 安全機制