オープンソースのNumbatプロジェクトは、AIエージェントのフックがセキュリティ境界ではないことを示しており、ワークスペースの安全を維持するための「モニタリング第一」のフレームワークを開発者に提供します。各エージェントを、再構成が可能で、必要に応じて停止できる「観測可能なエンドポイント」として扱うことで、Numbatは、チームがセーフティプロンプトだけに頼る前に、正しい問いを投げかけることを促します。

なぜAIエージェントのフックにはセーフティプロンプト以上のものが必要なのか

コーディングエージェントは、開発者のワークスペース内のすべてのファイルを読み取り、ローカルのビルドツールを呼び出し、ネットワークリクエストを実行できます。「本当にいいですか？」と問いかけるだけのプロンプトでは、悪意のあるエージェントやバグのあるエージェントによるデータの流出やリポジトリの破損を防ぐことはできません。多くのチームは、エージェントをホストに接続するフックを、不正な動作をブロックする「壁」として扱っていますが、実際にはそのフックは単なる接点であり、ゲートキーパー（門番）ではありません。

いかなる保護戦略もカバーすべき3つの機能

  • 観測 (Observation) – ホストは、エージェントが何を行っているかをリアルタイムで表面化させなければなりません。ログやフックの出力がなければ、不正なアクションは背景へと消えてしまいます。
  • 再構成 (Reconstruction) – インシデント発生後、エンジニアは追加の機密情報をさらすことなく、一連の出来事を繋ぎ合わせるための十分なコンテキストを必要とします。すべてのリクエスト、ファイルの読み取り、ネットワークコールを記録するトランスクリプト（記録）が不可欠です。
  • 実行制御 (Enforcement) – システムは、危険なアクションが実行される前にそれを拒否しなければなりません。これは単にイベントを記録することを超え、単なる報告ではなく介入できるメカニズムを必要とします。

Numbatは、ローカルフック、システムログ、セッションファイルからのデータを集約する単一のモデルを構築し、開発者がこれら3つの機能を横断するルールを適用できるようにします。ドキュメントでは、モニタリングがデフォルトの姿勢であることが明確に示されており、実行制御はオプトイン（任意選択）であり、最終的な決定権は依然としてホストが保持します。

モニタリング対実行制御：重要な違い

多くの開発者は「保護」と「モニタリング」を混同しています。Numbatはこの2つの間に線を引きます。モニタリング第一のアプローチは、エージェントの動作を変更することなく、チームにすべてのエージェントのアクションに対する可視性を提供します。もし後になってルールが乱用のパターンを示した場合、チームはその特定のアクションに対して実行制御を有効にすることができます。実行制御のパスは、基盤となるツールをハイジャックするものではありません。単にホストに対してリクエストを拒否するよう求めるものであり、セーフティネットを提供しつつ、自身のリソースに対するホストの権限を維持します。

Numbatによって生成されるトランスクリプトは、監査証跡として機能します。これは調査者が事後に何が間違っていたのかを理解するのに役立ちますが、問題の発生自体を防ぐものではありません。だからこそ、このプロジェクトでは、まず観測から始め、次に再構成へと進み、データとリスクプロファイルが明確になった段階で初めて実行制御を検討することを推奨しています。

エージェント・カバレッジ・マトリックス：実用的なチェックリスト

Numbatには、サポートされているすべてのフック、それが提供する観測レベル、およびギャップが存在する場所をリスト化した「カバレッジ・マトリックス」が付属しています。このマトリックスは、サポートされていないシナリオを隠すのではなく、それらを可視化することで、チームが適切に計画を立てられるようにします。マトリックスをチェックリストとして使用することで、フックが機能しなくなったり、エージェントがマトリックスで「サポート対象外」とマークされているプラットフォームで実行されたりした際の、予期せぬ失敗を防ぐことができます。

エンジニアリングチーム向けのチェックリスト

  • コードベースが接触するすべてのエージェントホスト（IDEプラグイン、CLIラッパー、CIランナー）をインベントリ化する。
  • 監査証跡のみが必要なのか、リアルタイムの防止も必要なのかを決定する。
  • フックが失敗した際のシステムの挙動をテストする。安全なデフォルト設定にフォールバックされるか？
  • オペレーティングシステムの権限とネットワークレベルの制御を、エージェントのツールチェーンとは別に管理する。

このリストに従うことで、チームはセキュリティ体制を、自身が依存しているフックの実際の能力と一致させることができます。

このアプローチの限界

Numbatは、従来のエンドポイントセキュリティソリューションの代替品ではありません。ホストのフックは、ホストが公開することを選択した内容しか報告できません。ホストのオペレーティングシステムやネットワークスタックにきめ細かなロギング機能が欠けている場合、観測は不完全なものになります。実行制御は、ホストがアクションを拒否する意思があるかどうかに依存しており、すべてのツールや環境で可能であるとは限りません。プロジェクト側は、カバレッジはホストが提供するものに依存すると述べており、ツールの価値はそれらの依存関係を可視化することにあるとしています。

セーフティプロンプトだけで十分だと考えている開発者は、エージェントに対してコード、認証情報、ネットワークリソースへのチェックされないアクセスを許してしまうリスクがあります。Numbatは、「フックを信頼する」から「フックが何をするかを検証する」への転換を強制します。これは、セキュリティの実践をAI主導の開発の現実に適合させる動きです。

要点: AIエージェントのフックを、壁ではなく観測ポイントとして扱いましょう。まずはモニタリングを行い、データとリスクを理解した上で、初めて強制適用（enforce）を行ってください。