GitHubは2026年10月7日、GitHub Copilotのエージェントが開発者のPC上で実行するコマンドを隔離環境で動かす「ローカルサンドボックス」を一般提供(GA)にしました。Copilot CLI、Copilotアプリ、VS CodeのAgent Hostを使うセッションが対象で、Windows・macOS・Linuxで動き、Copilotの契約に含まれるため追加料金はかかりません。エージェントにコマンド実行を任せている開発者や、その利用ルールを決める情報システム部門にとって、「どこまで触らせるか」をOSのレベルで決められるようになったのが要点です。9日に公開された週次まとめ(Copilot weekly releases)でも改めて案内されています。
何を制限できるのか
サンドボックスは、Copilotが起動したコマンドやツールのアクセス範囲を、開発者や組織が決めたポリシーで絞り込む仕組みです。GitHubの発表によると、制御できるのは次の項目です。
- ファイル: エージェントが実行したコマンドが読み書きできるファイルやディレクトリ
- ネットワーク: インターネットとローカルネットワーク(社内LANなど)への接続
- 認証情報: Gitの認証情報と、GitHub CLI(gh)の認証情報
- 手元のツール: ローカルで動くMCPサーバー(AIと外部ツールをつなぐ共通規格のサーバー)や言語サーバーも、対応している範囲で隔離の対象になります
仕組みには、Microsoftの「Microsoft eXecution Container(MXC)」が使われています。共通のポリシーを、各OSが持つ隔離機能に変換して適用する方式です。GitHubのドキュメントによると、macOSではSeatbelt、Linuxではbubblewrap、WindowsではProcessContainerを土台にしています。どのモデルを選んでいても、ツール実行には同じポリシーがかかります。
なぜ今、隔離が必要なのか
これまでのコーディングエージェントは、利用者本人と同じ権限でコマンドを実行するのが基本でした。プロジェクト外のファイルを読む、テスト中に外部へ通信する、手元の認証情報でリポジトリを操作する、といったことが、承認の確認画面さえ通れば可能です。
このリスクは理屈の上の話ではなくなっています。同じ週の10月9日には、Anthropicが評価中のClaudeが実在サイトのフォームを送信したり制限を回避したりしていたと公表し、OpenAIも採点役のモデルが自分の実行環境を壊そうとした事例を公開しました(既報)。行き詰まったエージェントが回り道を探す以上、「やめて」と指示するより、そもそも届かないようにしておくほうが確実です。GitHubは6月にこの機能をパブリックプレビューとして出しており、今回それを正式な機能に位置づけました。
企業で使うときのポイント
組織にとって大きいのは、管理者がサンドボックスを必須にできる点です。発表によると、企業が管理する設定(enterprise-managed settings)でサンドボックスを強制し、開発者が緩められないポリシーを配布できます。ドキュメントでは、サーバー側の管理設定、MDM(端末管理ツール)、ファイルによる管理設定の3通りが挙がっています。強制されている場合、利用者が設定や起動オプションで無効化することはできません。
一方、ドキュメントには注意点も書かれています。
- 既定ではオフです。有効にしない限り、コマンドはこれまでどおり利用者のアカウント権限で動きます
- 仮想マシンやコンテナほど強い隔離ではなく、OSレベルの軽い隔離です
- Copilotに組み込まれたファイル操作ツールはプロセス内で動くため、OSのサンドボックスでは縛れず、ポリシーの確認は「ベストエフォート」です
- リモートのMCPサーバーはサンドボックスの対象外です
- Linuxでは、起動した子プロセスについてローカルネットワークへの接続だけを個別に制御することはできません。Windowsでは、CLIでプロキシと拒否パスの指定が使えません
- 対応していない環境では、CLIはそのセッションのサンドボックスを外して通知します。ただし組織が必須にしている場合は起動自体を止めます
なお、記事執筆時点(日本時間10月11日)でドキュメントはまだ「パブリックプレビュー」の表記を残しており、CLIでは実験的機能として案内しています。GA後に手順が変わる可能性があるため、導入前に最新のドキュメントを確認してください。
日本の開発現場での使いどころ
日本の企業では、生成AIツールの利用を「外部にデータを出さない」前提で許可しているところが多くあります。サンドボックスでネットワークと認証情報を絞れば、「エージェントが勝手に外部へ送る」「本番用の認証情報で操作する」といった懸念に、ツールの設定として答えられるようになると考えられます。社内LANと外部インターネットを別々に許可できるため、社内のパッケージミラーだけを開けておく、といった運用も組みやすくなります。
隔離の土台がOSごとに違う点には注意が必要です。macOSは15(Sequoia)以降が推奨され、Linuxはbubblewrap 0.5.0以降に加え、外部通信には追加のパッケージが必要です。Windowsは最近のWindows 11のビルドが前提です。開発者ごとにOSがばらばらのチームでは、全員の環境で同じように動くかを先に確かめておくと安心です。
次にやること
- 手元で試す: Copilot CLIでは、セッション内で/sandbox enableを実行すると有効になり、/sandbox disableまで設定が引き継がれます(6月のプレビュー時の手順)。Copilotアプリではプロジェクト設定から既定値を決められます
- 許可リストを作る: プロジェクトのディレクトリ、社内のパッケージミラーなど、エージェントに本当に必要なアクセス先を書き出しておくと、ポリシーをそのまま組めます
- 管理者は強制を検討する: Business/Enterpriseで使っているなら、管理設定でサンドボックスを必須にするか、少なくともどの部署から強制するかを決めておくとよいでしょう
