HOLガードは、AIアシスタントとそれが動作するコンピューターの間に立つ、無料のオープンソースツールです。アシスタントが何かリスクのある操作を試みると、このツールが処理を一時停止し、ユーザーに確認を求めます。インストールには約1分しかかからず、動作は自分のマシン上で完結し、通常のチェックは50ミリ秒未満で完了します。ファイルがアップロードされることは一切なく、インターネット接続なしでも全機能が動作します。
対象となるのは、Claude Code、Cursor、Codex、Gemini CLI、OpenCode、Hermes、OpenClawのいずれかを利用しているすべてのユーザーです。
デフォルトは「バランス」設定、ユーザーの目に触れない判断を下す
HOLガードには「ジェントル」「バランス」「ストリクト」「パラノイド」という4つの設定が用意されています。HOL社の社長であるMichael Kantor氏は、設計上の目標を「エージェントを使い物にならなくすることなく、ユーザーを保護すること」だと説明しています。同氏によれば、実際にバランス設定では「シークレットへのアクセスや情報の外部流出、破壊的あるいは難読化されたコードの実行、プロンプトインジェクション、危険なMCP呼び出し、悪意のあるスキルや永続化の試みについては再確認を求め、ネットワーク経由の外部通信やパッケージスクリプトについては警告を出し、HOLガード自体を回避しようとする試みはブロックする」とのことです。
「ストリクト」設定では、これに加えて確信度の低いシグナルも検知対象とし、「パラノイド」設定では外部のツールサーバーによる見慣れない動作があれば何であれ処理を中断します。いずれの設定も中断の頻度が増えるため、デフォルトでは有効になっていません。
ブロックを引き起こす条件のリストは、意図的に公開されている
悪意のあるプラグインを作成しようとする者であれば、ソースコードを読んでHOLガードが何に反応するかを把握できてしまいます。この点についてKantor氏はHelp Net Securityに対し、「検知シグネチャを隠すことが本当の意味でのセキュリティ境界になるとは考えていません。HOLガードの検知の一部は単純で、意図的に公開していますが、それだけに頼っているわけではありません」と語っています。
同氏によれば、それ以外の部分は挙動を監視しているといいます。「ラッパーやパイプライン、リダイレクト、埋め込みコマンドをまたいで実際のコマンド構造を解析するほか、実行ファイルや環境変数、出所情報、機密性の高いパスへのアクセス、通信先のネットワーク宛先、アーティファクトの識別情報やハッシュ値の変化、HOLガードを明示的に回避しようとする試みといった要素も見ています」。同氏は変わっていない部分についても率直に認めています。「パターンマッチングを完全になくしたと主張するつもりもありません。実際になくしてはいませんし、なくす必要があるとも思っていません。それはあくまで複数ある判断材料の一つです」。
コードを読める者であれば、単純なチェックをすり抜けるようにコマンドを言い換えることはおそらく可能でしょう。しかし、コマンドの挙動そのものを監視している部分をだますのは、はるかに困難です。
ユーザーが機能を有効にし続けているかどうかは、誰にも分からない
HOLガードは稼働している間しか役に立たず、あまりに頻繁に処理を中断するツールはアンインストールされてしまうものです。導入から最初の1週間がどのような様子か、また利用者が「ストリクト」設定に引き上げるのか、それとも黙って「ジェントル」設定に戻してしまうのかを尋ねたところ、Kantor氏は次のように答えました。「正直なところ、利用状況について『ストリクト』対『ジェントル』対離脱率という形で確たる数字を示すことはまだできません。ローカルのテレメトリーとクラウド同期はデフォルトで無効になっているため、数字を主張すること自体が作り話になってしまいます」。
このギャップは、プライバシー重視の設計から直接生じているものです。ユーザーがオプトインしない限り何も収集されないため、HOL社自身も自社製品をユーザーがどう使っているかを把握できません。Kantor氏によれば、各モードのテストや観察は可能であり、ローカルの履歴機能もユーザーが実際に使ってみたうえで設定を強めたり緩めたりできるように設計されているとのことですが、「導入1週目のコンバージョン内訳を正直にお伝えすることは、現時点ではできません」と述べています。
HOLガードはコマンドやシークレットへのアクセス、プラグインのインストールを実行前にチェックしますが、同社自身も「プロンプトインジェクションを完全に防ぐものではない」と説明しています。付属のプラグインスキャナーが出すスコアについても、安全性を保証するものではありません。このパッケージは552,000件のダウンロードを突破していますが、ダウンロード件数が示すのはあくまで何台のマシンが取得したかであり、何台が今も機能を有効にしたまま使っているかではありません。
このツールは、許可した操作とブロックした操作のすべてをローカルに記録しており、誤ったブロックを取り消すのに必要な操作は承認1回だけです。中断された操作が自分では気づけなかったものを実際に捉えているかどうかを判断する前に、1週間分のその記録に目を通してみてください。これは、自分自身の環境について存在する唯一の証拠です。なぜなら、設計上、他の誰もそのデータを収集していないからです。
HOLガードはGitHubで無料公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/08/25/hol-guard-open-source-antivirus-ai-agents/
