AIエージェント向け軽量サンドボックスツール

sandbox-bwrap-nixはAIコーディングエージェントと実験を安全に実行するために設計された最小限のサンドボックスツール。プロジェクトはわずか数個のファイルで構成されている：start-sandbox.sh（bubblewrapを慎重に設定されたフラグで呼び出すエントリーポイント）、flake.nix（含まれるツール付きの開発シェルを定義）、flake.lock（nixpkgsリビジョンを固定）、隔離ホーム環境として機能するsandbox-homeディレクトリ。

開始スクリプトを実行すると、ツールはbubblewrapを使用して隔離された名前空間を設定する。ホストの/nix/storeを読み取り専用でマウントしてNixパッケージにアクセス可能にするが、実際のホームディレクトリをsandbox-homeフォルダで置き換える。/tmpは新規tmpfsになる。ファイルシステムの大部分はサンドボックス内から見えない。名前空間が確立されると、スクリプトはサンドボックス内でnix developを実行し、git、bun、uv、gnumake、opencodeなどのツールが既にインストール済みの開発シェルを起動。見た目は使い慣れたbashプロンプトだが、完全に隔離された環境で動作する。

隔離は3層で機能する。ディレクトリは制限される：特定のパスのみが見える、Nixストアは読み取り専用。プロセスは独自のPID名前空間を使用するため、サンドボックスはホストプロセスを見ることができず、ホストプロセスもサンドボックスを見ることができない。環境変数は完全にクリア（--clearenv）され、環境変数内のシークレットまたは迷走したPATHエントリがホストから漏洩するのを防ぐ。使用するには、リポジトリをクローンして./start-sandbox.shを実行し、オプションでどこからでもサンドボックスを起動するエイリアスを追加。sandbox-homeディレクトリはgitブランチ情報、bash補完、有用なエイリアスを備えた.bashrc、flakesを有効にするnix.confで事前設定されている。

通常のnix developのみとの比較は劇的である：サンドボックスなしの場合、AIエージェントはファイルシステムへの完全なアクセス権を持ち、すべての環境変数を継承し、PID名前空間を共有し、実際のホームディレクトリを使用する。sandbox-bwrap-nixでは、エージェントは明示的に許可したもののみを見る。Dockerとの比較では、sandbox-bwrap-nixはこの特定のワークフローの方がシンプルで高速である——Dockerfile、イメージビルド、デーモン起動不要——だが、Linuxでbubblewrapがある場合のみ動作し、ホストのネットワークとカーネルを共有する。プロジェクトは可搬性と機能を速度、シンプルさ、Nixエコシステムに既に属する開発者にとって自然な適合性と引き換えにしている。

sandbox-bwrap-nixはAIコーディングエージェントを使用する開発者の実践的な問題に対応している——エージェントが重要なファイルや設定ディレクトリに対してrm -rfのような破壊的コマンドを実行するという恐怖感だ。DockerやPodmanのようなコンテナは隔離を提供するが、デーモン、イメージ管理、レイヤーキャッシング、root权限またはsudoの必要性といったオーバーヘッドを伴う。本プロジェクトはより狭く軽量なアプローチを採り、既存のLinuxツール2つを組み合わせている：bubblewrap（最小限の権限削除サンドボックス）とNix（プロジェクトは利用者が既に持っていることを想定している）。その結果、意味のある安全性（隔離されたファイルシステム、独立したプロセス名前空間、消去された環境変数）を完全なコンテナ化の運用上の複雑さなしに提供するツールが実現した。

設計上のトレードオフは明確である：sandbox-bwrap-nixは可搬性（Linuxとbubblewrapのみ）と一部のコンテナ機能（イメージキャッシング、独立したOSカーネルなし）と引き換えに、シンプルさ、速度、Nixを既に使用している開発者にとって自然な適合性を実現している。隔離モデル——Nixストアを読み取り専用でマウント、ホームディレクトリを使い捨てのsandbox-homeフォルダで置き換え、新規/tmpを使用する——によって、AIエージェントは依然として有効（パッケージのインストール、ファイル編集、コマンド実行が可能）だが、いかなる損害や残存する変更もサンドボックス内に留まり、sandbox-homeフォルダをリセットして消去できる。

まだコメントがありません。最初のコメントを投稿しましょう！