Copilot appのローカル作業を隔離、ファイル・通信・認証情報の範囲をプロジェクトごとに制限
掲載 確認 出典・確認情報
ローカルでAIエージェントに作業を任せると、誤ったシェルコマンドが想定外のファイルや通信先、認証情報へ届く余地があります。Copilot appは、その到達範囲をプロジェクト単位で絞るローカルサンドボックスを追加しました。
AIエージェントが触れる範囲をプロジェクトごとに狭める
Copilot appのローカルサンドボックスでは、ローカルセッションが使える範囲を三つに分けて設定できます。ファイルについては追加の読み書き先、読み取り専用先、拒否するフォルダを指定できます。ネットワークについては外向きのインターネット通信とローカルネットワークへの接続を制御し、認証情報については認証済みHTTPS Git操作とGitHub CLIが使う認証情報を扱います。
たとえば、作業対象のリポジトリには書き込みを許しつつ、別の作業フォルダを拒否し、不要な外部通信や認証情報へのアクセスを与えない構成にできます。enterprise-managed settings（企業管理設定）がある場合は、実際に適用される制限がプロジェクト設定より厳しくなることがあります。
強制できない環境では制限なしで続けない
GitHubの公式説明では、OSが要求されたサンドボックスの制限を適用できない場合、制限なしでコマンドを実行せず、サンドボックス内のシェルをエラーで止めます。設定した境界を守れない状態へ自動的に切り替わらない点が、ローカルのAIエージェントを使ううえで重要です。
ローカルサンドボックスは公開プレビューで、既定では無効です。プロジェクト設定のSandbox new sessionsを有効にすると、その後に始める新しいセッションへ適用されます。すでに動いているローカルセッションだけをサンドボックスへ切り替える場合は/sandbox onを使えます。
クラウドやCLIとは別の設定
このサンドボックスはCopilot appのローカルリポジトリと作業ツリーのセッション向けです。クラウドのサンドボックスセッションやリモートホストで動くセッションには適用されません。Copilot CLIのサンドボックス設定も別に管理されます。
ファイル、ネットワーク、認証情報の設定変更は新しいセッション、または既存セッションの再起動後に反映されます。導入時は「Copilot全体の共通サンドボックス」と考えず、どの実行場所へ設定が効くかを分けて見る必要があります。
確認範囲
この記事は2026年9月23日のGitHub公式更新情報に記載されたローカルサンドボックスの設定範囲と適用条件を整理しています。実際のOS上でサンドボックスの強制可否や個別コマンドの挙動を独自に検証したものではありません。