GitHub、Copilotアプリにローカルサンドボックス提供

米GitHubは、デスクトップ環境向け公式クライアント「GitHub Copilot app（GitHubが提供するデスクトップ向けCopilot作業環境）」において、ローカルリポジトリおよびワーキングツリーの実行環境を隔離する新機能「ローカルサンドボックス（Local sandboxing）」のパブリックプレビューを開始しました。AIエージェントが自律的にコマンドを実行する際、ローカル環境のファイル、外部ネットワーク、保存された認証情報への不正アクセスや誤破壊リスクを大幅に低減します。

プロジェクト単位での厳格なリソース分離

ローカルサンドボックス機能では、開発者がプロジェクトごとに以下の3領域に対して明確な境界ポリシーを定義できます。

対象リソース	設定可能な制御項目	セキュリティ上の効果
Filesystem（ファイル）​	追加の読み書き可能フォルダ、追加の読み取り専用フォルダ、​​アクセス拒否（Denied）フォルダ​​一覧。	プロジェクト外の秘密鍵ファイル（~/.sshなど）や別リポジトリへの意図しない書き込み・閲覧を防止。
Network（ネットワーク）​	発信（Outbound）インターネット通信、およびローカルネットワーク接続の可否。	生成コードによる無許可の外部データ送信や内部LANスキャンを遮断。
Credentials（認証情報）​	認証済みHTTPS Git操作用クレデンシャル、GitHub CLI用クレデンシャル。	シェルコマンド実行プロセスからのトークン抜き取りや権限濫用を制限。
企業管理環境においては、管理者が設定したエンタープライズポリシーが優先され、個別プロジェクト設定よりも厳格な制限が自動的に適用されます。設定の変更は、新規セッションの開始時または既存セッションの再起動時に反映されます。

フェイルセーフ設計と利用手順

本機能では安全性を最優先し、実行環境のOS（オペレーティングシステム）が指定されたセキュリティポリシーを強制できない場合、​​サンドボックス保護なしでシェルを起動するのではなくエラーを返して即座に実行を停止​​するフェイルセーフ仕様が採用されています。 利用方法は以下の通りです。

1. ​プロジェクト既定の有効化​: デフォルトでは無効（オフ）に設定されています。アプリ設定の「Sandbox」項目から「​Sandbox new sessions​」を有効化することで、以降の新規セッションに適用されます。
2. ​アクティブセッションでの有効化​: 実行中のローカルセッションに対しては、コマンドラインで /sandbox on と入力することで、プロジェクト既定値を変更することなく即座にサンドボックスを有効化できます。

日本の開発者への影響と制約事項

日本の開発現場でも、AIコーディングアシスタントにシェル実行やテスト自動化を委ねるワークフローが定着しつつあります。一方で、社内PC上の秘密情報流出や環境破壊を恐れて権限を厳しく絞らざるを得ない課題がありました。本機能により、業務マシンの安全性を保ちながらエージェントの自律的なタスク実行を安心して許可できるようになります。 ただし、本プレビューには以下の適用制限がある点に留意が必要です。

• クラウドサンドボックスセッションやリモートホスト上のセッションには適用されません。
• GitHub Copilot appと「Copilot CLI」のサンドボックス設定は別個に管理されるため、両ツールを併用する場合は個別の確認が必要です。

分析と今後の展望

自律型AIエージェントの普及に伴い、開発環境のセキュリティモデルは「ユーザーによる都度承認」から「OSレベルの隔離コンテナによる実行時制御」へと移行しています。GitHubがクライアントアプリに細かい粒度のサンドボックス機構を組み込んだことは、エージェントがより広範なタスク（ビルド、依存関係解決、テスト実行）をバックグラウンドで安全に遂行するための土台となります。今後、OS間の互換性向上や細やかな権限テンプレートの提供が進むことで、企業におけるAIエージェント導入の標準プラクティスになるとみられます。 引用元：The GitHub Blog