AIコーディングエージェントがターミナルを開き、設定ファイルを読み込んだところ、平文で書かれた有効なクラウドキーを見つけてしまいます。エージェントは起動したユーザーの権限で動作するため、そのユーザーが読み取れるファイルはすべてエージェントも読み取れます。環境内のあらゆる認証情報も、エージェントが利用できてしまいます。
この広範なアクセス権限こそが被害の起点になります。プロンプトインジェクションやコマンドの入力ミス、あるいはAIが誤って生成した架空のパスが、そのアクセス権限を企業自身の認証情報や本番システムに向けてしまうのです。
Luke Hinds氏はRed HatでSigstoreを構築した人物です。Sigstoreは、ソフトウェアパッケージの出所を検証するための標準となった署名プロジェクトです。同氏がStephen Parkinson氏と共同で設立した企業nolabsは、AIエージェントをオペレーティングシステムのカーネルレベルで制限するオープンソースランタイム「Nono」をリリースしました。
NonoはGitHubで3,100個を超えるスターを獲得しています。80人以上がコントリビューターとして参加しており、利用者には大企業や規制業種のチームも含まれています。
最終判断を下すのはカーネル
Nonoは、エージェントが実行するあらゆる操作をコードで記述されたポリシーと照合してチェックします。エージェントがツールの使用、ファイルのオープン、ネットワークエンドポイントへのアクセスを要求すると、カーネルがその可否を判定します。この強制機構はオペレーティングシステム内に存在し、エージェントやそのプロセスを共有するあらゆるガードレールよりも下層に位置しています。
NonoはLinuxではLandlock、macOSではSeatbeltを活用しています。これらはプロセスから権限を剥奪し、その状態を維持するカーネル機能です。サンドボックスが適用されると、その制限はプロセスが存在する間ずっと維持されます。
「現在、WindowsについてはWindows Subsystem for Linux(WSL2)経由でサポートしています。WSL2は実際のLinuxカーネルを実行するため、Nonoが持つLandlockによる強制機構はネイティブのLinuxとまったく同様に適用されます。ネイティブWindowsでの強制機構については現在研究を進めています」とHinds氏はHelp Net Securityに語りました。
開発者は作業速度を上げるためにエージェントに手を伸ばします。一方でセキュリティチームは、そうしたエージェントがファイルや認証情報、本番システムに対して人間並みの権限を引き継いでいく様子を見守ることになります。コンテナやマイクロVMは被害範囲を縮小しますが、それでも過剰な権限を与えられたエージェントは、その内部で付与されたすべてのキーを保持し続けます。
ツールに渡されるのは「幻の鍵」
広範囲かつセッション全体に及ぶ権限こそが、Nonoの新機能が狙いを定めた課題です。Agent Tool Sandboxingは、ツール呼び出し1件ごとに独自のスコープを持つ権限を割り当てます。
ツールが受け取るのは、実際のシークレットの代わりとなる「幻の認証情報」です。ファイルアクセスの範囲はタスクに必要な分だけに限定され、ネットワークアクセスの範囲も必要なエンドポイントに到達した時点で終了します。この権限は呼び出しが完了すると失効します。
幻の代替情報を保持するツールであっても、どこかで実際に稼働しているサービスに対して認証を行う必要があります。Hinds氏はその呼び出しの仕組みについて次のように説明しています。「Nonoは、リクエストをサンドボックス外にある信頼できるプロキシ経由でルーティングします。このプロキシが、オペレーティングシステムのキーチェーンや1Password、Bitwarden、Kubernetes Secretsといった安全なストレージから実際の認証情報を取得し、承認済みの外部APIに送信するリクエストにのみそれを注入します」。
DatadogのスタッフセキュリティエンジニアであるJames Carnegie氏も利用者の一人です。「Datadogのエンジニアは、エージェントに素早く動いてほしいと考えていますが、同時に認証情報や本番システムの安全性も確保したいと考えています。Nonoは、きめ細かなコマンド単位のポリシーと、既存の複雑な実運用ツールチェーンに適合する高度な認証情報管理の両方を提供してくれる唯一のサンドボックスです」。
NonoはGitHubで無償で公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/07/27/nono-open-source-ai-agent-sandboxing/
