macOS向けコンテナでAIエージェントを隔離

sdeはmacOS向けの単一バイナリCLIツールで、ロール分離されたネットワーク隔離コンテナ環境（ワークスペースと呼ぶ）をブートし、コードとAIエージェントが安全に実行できるようにします。基本的な考え方は最小権限の原則を適用することです。エージェントに必要なもの（読み取りアクセス、依存関係を取得する能力、ギットコミットを行う能力）を与え、それ以上は与えません（生のインターネットアクセスなし、スタティック認証情報なし、制御されていない書き込みアクセスなし）。

このツールは3つのメカニズムを通じて隔離を適用します。まず、エグレス制御：ワークスペースコンテナはtopology.yamlファイルで明示的にリストされたドメインにのみ到達できます。その他すべてのトラフィックはDNSリゾルバー（NXDOMAINを返すサイドカーコンテナ）でブロックされ、ワークスペース内のiptablesで再びブロックされます。クラウドインスタンスメタデータ（169.254.169.254）は常にブロックされ、エージェントがクラウドプロバイダーシークレットを盗むのを防ぎます。次に、認証情報仲介：Gitトークンはホスト上のmacOS Keychainに存在します。ワークスペースがgit cloneまたはgit pushを必要とする場合、ホスト上で実行されているUnixソケットブローカーと通信し、ブローカーが操作ごとに短期トークンをミントしてGIT_CONFIG_COUNT環境変数経由で注入します。コンテナに.gitconfigファイルはありません。AWS認証情報も同様に機能します。sdeはワークスペースに~/.aws/configを注入し、これはcredential_processを使用してホスト上のブローカーをコールバックし、ホスト上でaws configure export-credentialsをシェルアウトして短期SSO認証情報をベンディングし、スタティックキーがコンテナに保存されないようにします。第3に、書き込みゲーティング：git pullはデフォルトで許可されていますが、git pushはホストターミナルから発行した明示的な許可が必要です（例：sde grant push --repo my-org/my-project --ttl 10m）。指定した期間にプッシュアクセスを時間限定します。

インストールはHomebrew経由（brew tap alexs60/sde && brew trust alexs60/sde && brew install sde）またはGit、Go、Makeを使用したソースからのビルドで利用できます。このツールはmacOS 13以降、Colima（無料でDocker API互換のコンテナランタイム）、Gitが必要です。AWS CLI v2はAWS認証情報を利用したい場合はオプションです。コンテナランタイムはトポロジー変更1行でColimaからOrbStackに切り替えられます。

ワークフローは5つのステップです。GitHubパッケージ認証トークンを保存し（sde auth github --store）、プロジェクトに移動し、topology.yamlを生成し（sde init、スタックを自動検出）、環境をブートし（sde up）、ワークスペースでシェルを開き（sde shell）、必要に応じて書き込みアクセスを許可します（sde grant push --ttl 10m）またはすべてを停止します（sde down）。topology.yamlファイルはネットワーク、サービス（ワークスペースとデータストアコンテナ）、エグレスポリシー、認証情報プロバイダーを指定します。参照例にはpnpmを備えたNode.jsワークスペース、Postgresデータストア、npmレジストリ、GitHub、Anthropic APIのアローリストが含まれています。

このツールは積極的に開発中で、GPL-3.0以降のライセンスの下で公開されています。v1ターゲットはmacOS上のワークスペース隔離、認証情報仲介、エグレスポリシー、AWS/GitHub統合をカバーしています。Linuxランタイムサポートと追加のトークンプロバイダーはロードマップに含まれています。最新のE2E検証は2026年7月21日です。著者はSECURITY.mdでsdeが保護措置であり獄ではないことに注意します。エージェントが脱線したり、依存関係がホームフォンしたりするコストを上げますが、コンテナエスケープには耐えず、任意のユーザーコンテンツを提供するホワイトリスト登録ドメインは設計上データチャネルです。

sdeはAIアシスト開発における実際のセキュリティギャップに対応しています。コードベースに対してエージェントを実行する場合、通常はシークレット、Gitヒストリー、クラウド認証情報へのアクセス権を持つシェルを許可する必要があり、侵害されたエージェントまたは悪意のある依存関係が悪用できる広い権限表面が生じます。このツールは隔離の3つの相互補完的なレイヤーを実装しています。まず、ネットワーク隔離：ワークスペースは明示的にホワイトリストに登録したドメインにのみ到達でき、その他すべてはDNSリゾルバー（サイドカーコンテナ）とiptablesでブロックされ、クラウドインスタンスメタデータは常にブロックされます。次に、認証情報隔離：シークレットはコンテナファイルシステムに存在せず、ホストのmacOS Keychainに存在し、操作ごとに仲介されるため、攻撃者がワークスペース内でシェルを取得してもスタティックキーを収集できません。第3に、書き込み制御：エージェントはホストターミナルから発行した明示的で期間限定の許可なしにコードやインフラを変更できず、エージェントの読み取りアクセス（コンテキストに必要）を書き込み機能（制御する必要がある）から分離します。

アーキテクチャはモジュラーです。Colimaがデフォルトのコンテナランタイムですが、OrbStackは単一のトポロジー変更で動作し、コードベースは外部インポートがゼロのコアドメインを持つ六角形アーキテクチャを使用しています。インストールはシンプルで、Homebrewまたはソースからのビルドが可能であり、CLIは主要なインターフェースとして設計されています。著者は制限について透明です。sdeは保護措置であり獄ではないため、コンテナエスケープから防御せず、任意のユーザーコンテンツを提供するホワイトリスト登録ドメインは設計上データチャネルです。最新のE2E検証は2026年7月21日です。

まだコメントがありません。最初のコメントを投稿しましょう！