Copilot CLI安全強化、プラン実行時の書き込みを遮断

GitHubは、開発者向けAIコーディング支援CLIツール「GitHub Copilot CLI（ターミナル上で動作するGitHub Copilotの対話型コマンドラインツール）」の安全対策アップデート（v1.0.71シリーズ）を配信しました。これまでシステムプロンプトの指示（制約）のみに依存していた「プランモード（計画フェーズ）」でのファイル書き込みなどの抜け穴が、ツール呼び出し層においてシステム的にハードブロックされるよう強化されました。

プランモードの実行時ハードブロックとLSPへのサンドボックス適用

Copilot CLIには「プラン」「スタンダード」「オートパイロット」の3つの動作モードが搭載されています。計画の設計図を作成する「プランモード」において、以前の設計ではファイル編集やシェル変更ツールの呼び出しをランタイム側で阻止する仕組みがなく、モデルが指示を逸脱した場合に計画段階でファイルを書き換えてしまうリスクがありました。

今回のアップデートにより、以下のセキュリティ向上が施されています。

• ​呼び出し層での実行拒否​: プランモード時、ファイルエディタの起動やワークスペースを変更するシェルコマンドの実行要求が発生すると、LLM（大規模言語モデル）の意図に関わらず実行エンジンに到達する前に処理が拒否されます。
• LSPへのサンドボックス拡張​: LSP（Language Server Protocol。コードエディタと言語解析ツール間で自動補完などの定義をやり取りするJSON-RPCベースの標準規格）（Language Server Protocol）経由のファイル操作に対しても、CLIと同等のサンドボックスポリシーが拡張されました。これにより、言語サーバーを介したサンドボックス制限外のファイル読み書きや名前変更のリファクタリングといったバイパス経路が塞がれました。
• ​再帰呼び出しの制限​: 暴走したサブエージェントがループ内で別エージェントを生成してリソースを浪費する障害を防ぐため、サブエージェントの最大ネスト深度がデフォルトで「6」から「4」に引き下げられました。

その他、音声入力モードで永続的なマイクデバイス設定を可能にする /voice devices コマンドの導入や、ターミナルでインタラクティブなUIを更新する「Canvas」機能へのサポート、従量課金コストを可視化する /chronicle コマンドのプロファイル強化といった利便性向上も実施されています。

MCP外部ツールに関する制約と注意点

本アップデートにおける重要な制約として、外部ツールを接続するMCP（Model Context Protocol。AIモデルと外部ツールやデータソースを接続する共通通信プロトコル）（Model Context Protocol）経由のツール呼び出しは、プランモードのハードブロック対象外となっています。

Copilot CLIは自身の組み込みツールはツール呼び出し層で傍受して強制終了できますが、MCPは別プロセスとしてJSON-RPCチャネルで動作するため、CLI側から直接ブロックするフックポイントを所有していません。そのため、社内システムやデータベース、Web自動化等のMCPサーバーをCLIに接続している場合、プランモードであってもAIがMCPツールを呼び出してワークスペースを意図せず変更する可能性が残されています。開発の安全を確保するためには、席を外した状態での放置を避けるなど、運用上の配慮が推奨されます。

出典：財経新聞 / TechTimes