コーディングエージェントを守る：5つの層と、実際に何かを止めるツール

コーディングエージェントは、あなたに代わってファイルを読み、コマンドを実行し、ものをインストールします。エージェント向けの人気の「AIセキュリティ」ツールの多くは、助言をするだけです。ここでは、実際に何かを止めるツールの重ね方と、助言するツールの位置づけを説明します。

考え方は単純です。エージェントの中で動くものはすべて言いくるめられます。プロンプトインジェクションがモデルを説得して止めさせられるからです。そのため、守られなければならない判断はエージェントの外、つまりOS、フック、CIに置きます。以下のスター数は2026年10月24日にGitHubで確認したもので、どのツールが何かを強制するかについてはほとんど何も語りません。Cloudflareの監査スキルは、わずか14コミットで、ここで挙げるブロック型のツールすべてを合わせたより多くのスターを集めています。

1. 封じ込める：エージェントが届く範囲を決める

ほかのすべてが失敗しても、サンドボックスは、エージェントがどのファイルを読み書きでき、どのホストに接続できるかを決め続けます。

• Anthropic Sandbox Runtime（4.4）は、Claude Codeの/sandboxを支えるエンジンです。OS自身のサンドボックスを使い、コンテナは不要で、無料です。プロジェクト内への書き込みは意図的に許可しているため、ハードリセットは止めません。
• NVIDIA OpenShell（4.1）はより重厚です。エージェントごとのサンドボックス、エージェントが目にすることのない認証情報、適用前に確認されるポリシーの変更があります。放置して動かし続けるエージェントに向いています。

作業の種類ごとに1つを選んでください。同じエージェントで両方を動かしても、デバッグするルールのセットが2つになるだけです。

2. ガードする：危険な操作を実行前に止める

• CC Safety Net（4.0）は、強制プッシュ、ハードリセット、危険な対象へのrm -rf、キーの読み取りを拒否し、コマンドをbash -cで包んでもだまされません。サンドボックスが開けたままにする隙間を埋めます。
• AnthropicのClaude Code向けプラグインsecurity-guidance（4.2）は、すべての編集、ターン、コミットを新しいモデルの呼び出しでレビューします。助言するだけで止めることはないので、鍵ではなく早期警報として扱ってください。

3. レビューする：エージェントにバグを探させる

ここはエージェントが本当に得意な分野です。ただし、すべてを見つけることに何かが依存していなければ、の話です。

• Trail of Bits Skills（4.4）は、セキュリティ企業の監査手法をパッケージ化したものです。優れたスキルは、モデルの判断を信じるのではなく、CodeQLやSemgrepを動かします。
• Cloudflare Security Audit Skill（3.9）は、2つ目のエージェントにすべての指摘を反証させようとします。Cloudflareによれば、1回の実行で見つかるのは繰り返し実行した場合の約半分なので、複数回実行してください。

4. 審査する：インストールするものを確認する

スキル、プラグイン、MCPサーバーはどれも、エージェントが信頼するコードと指示です。つまりサプライチェーンです。

• Cisco Skill Scanner（3.7）は、エージェントが読む前にスキルをスキャンし、自らの検出率を公表していますが、その数字は控えめです。
• Snyk Agent Scan（3.8）は、マシンにすでにインストールされているMCPサーバーとスキルをすべて見つけます。分析のため、ツールの説明をSnykに送信します。
• ToolHive（4.1）は、各MCPサーバーを厳しく制限した専用のコンテナで動かすため、悪質なものができることが減ります。

5. ゲートを設ける：エージェントが手を出せないチェック

AIが書いたコードも、人間のコードと同じマージのゲートを通るべきです。モデルは説得されて指摘を取り下げることがありますが、失敗したCIのジョブは説得できません。

• Semgrep（4.3）を必須のステータスチェックにし、MCPサーバーかGuardianプラグインも使って、エージェントが作業中に同じルールを見られるようにします。
• Semgrepの無料枠なら、脆弱な依存関係にはOSV-Scannerを、漏れたシークレットにはGitleaksを加えてください。どちらも無料のオープンソースです。

3つだけ導入するなら

組み込みのサンドボックスをオンにし、security-guidanceプラグインをインストールし、Semgrepを必須のCIチェックにしてください。強制するものが1つ、早めに警告するものが1つ、エージェントが飛ばせないゲートが1つです。

注意点：セキュリティツールもツールです。フックはエージェントが動くたびにあなたの権限で実行され、スキャナーはベンダーにデータを送り、インストーラーは@latestを取ってきます。悪意のある「セキュリティ」フックは悪意のあるスキルより危険です。その役割ゆえに人が信頼してしまうからです。バージョンを固定し、フォークよりベンダー自身のリポジトリを選び、新しいフックはまずサンドボックスの中で試してください。

どれも解決しないこと

• プロンプトインジェクション。確実に検出できるものはありません。できる最善は被害を限定することなので、封じ込めが先です。
• 許可されたホストへの漏洩。許可リストが決めるのはエージェントがどこに接続できるかであって、何を送るかではありません。GitHubが許可されていれば、公開gistも許可されています。使い捨てのリポジトリに偽のキーを仕込み、それが外向きの通信に現れたらCIを失敗させてください。
• 認可のロジック。顧客Aが顧客Bのデータを読めるかどうかは、スキャナーがほとんど答えられず、AIのレビュアーの答えも一貫しない問いです。認証のコードには人を付けてください。
• 形だけの承認。エージェントの変更に1日何十回も承認をクリックすることは、管理になっていません。危険なものだけを人に回し、時間をかけさせてください。

結論：問題を見つけることはエージェントの中で行ってかまいません。危険な操作を防ぐことはエージェントの外で行う必要があり、本番向けのコードを承認することはコーディングのセッションの完全に外に置くべきです。セキュリティのスキルより先に、サンドボックスを入れてください。