GitHub Copilotアプリにローカルサンドボックス - 既定は無効、OSが強制できなければエラーで止まる

GitHubが2026年9月23日、Copilotアプリのローカルセッションにサンドボックス設定を追加した。ファイル・ネットワーク・資格情報をプロジェクト単位で制限できる。既定は無効で、Copilot CLIとは設定が別。public preview。

GitHub-Copilot AI-agents security sandbox coding

GitHubは2026年9月23日、GitHub Copilotアプリのローカルリポジトリ／ワークツリーのセッションに、プロジェクト単位で設定するサンドボックスを追加した¹。

制限できるのは3つ。ファイルシステム（追加の読み書き・追加の読み取り専用・拒否フォルダの各リスト）、ネットワーク（外部インターネットとローカルネットワーク）、資格情報（HTTPS認証のgit操作用とGitHub CLI認証用）¹
既定は無効。アプリ設定でプロジェクトを選び「Sandbox new sessions」をオンにする。効くのは新規セッションで、実行中のセッションには適用されない。実行中のものだけ有効にするなら /sandbox on と入力する
OSが要求されたポリシーを強制できない場合、サンドボックスなしで実行を続けるのではなくエラーで失敗する。プロジェクト設定はアプリが要求するポリシーであり、エンタープライズ管理の設定が適用される場合は実効ポリシーがより厳しくなりうる

適用範囲には切れ目がある。クラウドサンドボックスのセッションやリモートホスト上のセッションには適用されず、Copilotアプリと Copilot CLI のサンドボックス設定は別々に構成する必要がある¹。ローカルで長時間エージェントを走らせるほど、手元のファイルと資格情報にどこまで触れるかが実害の分かれ目になる——Claude Codeで報告されたmacOSサンドボックスの回避も、その防御線が機能するかどうかの話だった。現時点では public preview で、変更の可能性があるとされている。

Sources

Local sandboxing in the GitHub Copilot app - GitHub Changelog（2026年9月23日）