2026年10月7日、GitHubは「GitHub Copilotのローカルサンドボックス（local sandboxing）」の一般提供を発表しました。Copilot CLI、GitHub Copilotアプリ、Agent Hostを使うVS Codeのセッションで使えます。
AIエージェントに作業をまかせるとき、「勝手に大事なファイルを消されないか」「認証情報を使われないか」は気になるところです。ローカルサンドボックスは、そうした不安をへらすための機能です。この記事では、GitHubの公式Changelogとドキュメントにそって、しくみと使い方をまとめます。
ローカルサンドボックスとは
ローカルサンドボックスは、Copilotが自分のパソコンの上で実行するツールやコマンドを、制限された環境の中で動かす機能です。公式Changelogでは、ファイルシステム、ネットワーク、認証情報、そのほかのシステム機能へのアクセスを、開発者や組織が決めたポリシーにもとづいて制限すると説明されています。
オフのときはどうなっている？
ここが大事なポイントです。公式ドキュメントによると、ローカルサンドボックスは初期状態ではオフです。オフのあいだ、Copilotが実行するシェルコマンドは、あなたのユーザーアカウントと同じ権限で直接動きます。つまり、あなたが読み書き・削除できる場所ならどこでも操作でき、パソコンがつながるネットワークならどこにでもアクセスでき、認証情報も制限なく使えます。
サンドボックスを有効にすると、このアクセスを自分で決めたポリシーの範囲にしぼれます。
できること
公式Changelogでは、次のことができるとしています。
- エージェントが実行するコマンドが読み書きできるファイルやフォルダを限定する
- インターネット、ローカルネットワーク、Git の認証情報、GitHub CLIの認証情報へのアクセスを制御する
- ローカルのMCPサーバーや言語サーバーなどにもサンドボックスを適用する（対応している場合）
- 企業の管理設定でサンドボックスを必須にし、開発者がゆるめられないポリシーを強制する
また、「モデルの実行とツールの隔離は別の話」とされていて、Copilotがどのモデルを使っていても、サンドボックスのポリシーはツールの実行に適用されます。
料金
ローカルサンドボックスは、GitHub Copilotに追加料金なしでふくまれています。
しくみ：OSごとの仕組みを使う
ローカルサンドボックスは、Microsoftの「MXC（Microsoft eXecution Container）」という技術で動いています。共通のサンドボックスポリシーを、Windows・macOS・Linuxそれぞれの仕組みに変換して制限をかけます。
Microsoftの開発者向け記事によると、OSごとの仕組みは次のとおりです。
- Windows：ProcessContainerのBaseContainer
- macOS：Seatbelt
- Linux：bubblewrap
別の仮想マシンやコンテナイメージは必要ありません。対応OSは、macOS、Linux、最近のWindows 11のビルドです。
サンドボックスの中で動くもの・外のもの
同じ記事によると、サンドボックスを有効にすると、シェルコマンドと、既定ではローカルのMCPサーバーと言語サーバーがサンドボックスの中で動きます。
一方で、Copilotに組みこまれたファイル操作のツールはCopilot自体の中で動き、ポリシーとの照合はされますが、OSレベルでの隔離ではありません。また、リモートのMCPサーバーはローカルのサンドボックスの外にあります。どこまでが守られているかを知っておくことが大切です。
有効にする方法（Copilot CLI）
Copilot CLIのセッションの中で、次のコマンドを実行します。
/sandbox enable：サンドボックスをオンにする/sandbox disable：サンドボックスをオフにする/sandbox status：今のセッションでサンドボックスが使われているか確認する/sandbox policy：今のフォルダで有効なパス・ネットワーク設定・機能を表示する/sandbox config（または/sandboxだけ）：設定画面を開く
一度有効にすると、/sandbox disable でオフにするまで、今後のセッションでも使われつづけます。
GitHub Copilotアプリの場合
Copilotアプリでは、プロジェクトの設定で、新しいローカルリポジトリや作業ツリーのセッションでのサンドボックスの初期値を決められます。実行中のセッションだけ設定を変えることもできます。
企業での使い方
企業にとって大きいのは、管理設定でサンドボックスを必須にできる点です。公式ドキュメントによると、企業の管理設定でサンドボックスが必須になっている場合、/sandbox disable は拒否されます（ポリシーでバイパスが許可されている場合は、そのセッションだけオフにできます）。
これにより、次のような運用がしやすくなります。
- 開発者のパソコンでAIエージェントを使うときも、会社のルールで触れてよい範囲を決めておく
- 認証情報や社内ネットワークへのアクセスを、エージェントから切りはなす
- そのうえで、より自律的なエージェントの作業を取り入れる
AIエージェントの権限をしぼる考え方は、クラウドのエージェントでも同じです。Amazon Bedrock AgentCoreの記事もあわせてどうぞ。
クラウドサンドボックスとのちがい
GitHubのドキュメントでは、ローカルとは別に「クラウドサンドボックス」も紹介されていますが、こちらは2026年10月時点でパブリックプレビュー（変更される可能性あり）です。この記事で紹介したローカルサンドボックスは一般提供です。
まとめ
- ローカルサンドボックスは、Copilotが実行するコマンドのファイル・ネットワーク・認証情報へのアクセスを制限する機能
- 2026年10月7日に一般提供。Copilot CLI、Copilotアプリ、Agent Hostを使うVS Codeで使える
- 初期状態はオフ。CLIでは
/sandbox enableで有効にする - 追加料金なし。企業は管理設定で必須にできる
AIエディタについてはCursorとは？でも紹介しています。
コメント