その他のエージェントとサンドボックスコマンド:```bash
cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

## ブロックするもの

サンドボックスはカーネル内の認証情報とシークレットへのアクセスをブロックします。コマンドガードは破壊的な操作をブロックします。すべての制限はエージェントと、それが生成するすべてのプロセスに適用されます。

| リソース | ステータス | 備考 |
| --- | --- | --- |
| プロジェクトディレクトリの読み書き | ✅ 許可 | |
| プロジェクト内の `.env*`、`.pem`、`.key` の読み書き/削除 | 🔒 カーネルでブロック | シークレットの持ち出しと破壊を防ぎます。`--allow-env-files` で上書き可能 |
| `.git/hooks`、`.git/config`、`.gitmodules` の書き込み | 🔒 カーネルでブロック (macOS)、⚠️ Linux では部分的 | git フック、hooksPath リダイレクト、サブモジュールハイジャックによる永続化を防ぎます。**Linux:** Landlock は許可されたツリー内のサブパスを拒否できないため、Landlock のみのパスではこれらは書き込み可能なままです。`bwrap` は `.git/hooks` を読み取り専用に再バインドしますが、`.git/config` と `.gitmodules` は意図的に書き込み可能なままにするため、`core.hooksPath` は永続化の経路として残ります。[Linux の制限](https://github.com/navikt/cplt/blob/main/docs/security.md#linux)を参照。**すべての**書き込み可能ルート、つまりプロジェクトと各 `allow.write` 許可に適用され、実際のフックが `<root>/.git` の外にある許可されたワークツリーやベアリポジトリも含みます |
| `/tmp`、`/var/folders` からの実行 | 🔒 カーネルでブロック | 書き込み後の実行を防ぎます。スクラッチディレクトリは TMPDIR を安全な場所にリダイレクトし、デフォルトで有効です |
| PATH で解決される bin/shim ディレクトリ (`~/.bun/bin`、`~/.deno/bin`、`$PNPM_HOME`、mise の `shims/` と `installs/` 全体) への書き込み | 🔒 カーネルでブロック (macOS)、⚠️ Linux では mise が部分的 | 次に *サンドボックス外* で実行されるコマンドが PATH 経由で解決するバイナリをトロイの木馬化するのを防ぎます。`~/.cargo/bin` と `~/go/bin` が常に読み取り専用であったのと同じ理由です。cplt 内での `bun install -g`、`deno install`、`pnpm add -g`、`mise install`、`mise upgrade`、`mise use -g` を意図的に壊し、未インストールのツールチェーンを固定したリポジトリはブートストラップしなくなります。プロジェクトローカルのインストールは影響を受けません。**Linux:** mise の 2 つは `bwrap` の読み取り専用オーバーレイに乗り、残りはネイティブに保持されます。[グローバルツールのインストール](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#global-tool-installs)を参照 |
| `~/Library/Caches` からの実行 | 🔒 デフォルトでカーネルブロック | バイナリドロップのステージングを防ぎます。Copilot のネイティブモジュールはカーブアウトにより除外されます。`--allow-cache-exec <SUBDIR>` で対象を絞った除外を追加できます (例: `ms-playwright`) |
| `.vscode/tasks.json`、`launch.json` の変更 | ⚠️ 許可、既知のリスク | IDE の信頼境界。緩和策については [SECURITY.md](https://github.com/navikt/cplt/blob/main/SECURITY.md) を参照 |
| `~/.copilot` (認証、設定) の読み書き | ✅ 許可 | `keytar.node`、`pty.node`、`computer.node` 用の `file-map-executable` を含みます |
| `~/.copilot/pkg` (ネイティブモジュール) への書き込み | 🔒 カーネルでブロック | ネイティブモジュールの置き換えによる永続化を防ぎます |
| 環境変数 | 🔒 サニタイズ + 強化 | 安全な許可リストのみが通過します。ライフサイクルスクリプトはブロックされます。`--pass-env VAR` で 1 つ戻せます |
| `~/.config/gh/hosts.yml` + `config.yml` の読み取り | ✅ 許可 (読み取り専用) | この 2 ファイルのみ。`.config/gh` の残りはブロックされます |
| `~/.config/mise` の読み取り | ✅ 許可 (読み取り専用) | ツールのバージョンと PATH、シークレットなし |
| `~/.gitconfig`、`~/.config/git/config` の読み取り | ✅ 許可 (読み取り専用) | dotfiles のシンボリックリンクはターゲットまで追跡されるため、stow された `~/.gitconfig` も機能します |
| `~/.git-credentials` の読み取り | 🔒 カーネルでブロック | `credential.helper = store` はここに平文トークンを保持します。`~/.netrc` と同様、`--allow-read` でも再び開けません。**Linux:** *祖先* (`$HOME` 自体) への許可は依然としてこれを露出させます。Landlock は許可されたツリー内のサブパスを拒否できないためです |
| グローバル git フック (`core.hooksPath`) の読み取り | ✅ 許可 (読み取り専用、書き込み拒否) | 自動検出されます。`$HOME` 配下で深さ ≥3 である必要があります。書き込みは明示的にブロックされます |
| コミット/タグ署名 (`commit.gpgsign`、`tag.gpgsign`) | 🔒 無効化 | `~/.ssh` と `~/.gnupg` の秘密鍵がブロックされるため、環境変数の上書きにより署名は無効化されます |
| `~/Library/Application Support/Microsoft` の読み取り | ✅ 許可 (読み取り専用) | テレメトリ用のデバイス ID |
| macOS Keychain へのアクセス | ⚠️ 認証をそこに保存するエージェントには許可 (読み書き) | 許可は 1 つの項目にスコープできないため、エージェントがロック解除できるすべてのキーチェーン項目に到達します。エージェントがそれなしで認証できる実行では、`sandbox.keychain_substitute` (実験的、デフォルト無効) をオプトインしてこれを外します — Claude Code の場合は `CLAUDE_CODE_OAUTH_TOKEN`、Antigravity の場合は既存のフォールバックトークンファイル。[SECURITY.md](https://github.com/navikt/cplt/blob/main/SECURITY.md#keychain-access-is-all-or-nothing) を参照 |
| 外向きネットワーク (ポート 443) | ✅ 許可 | 他のすべてのポートはブロックされます。`--allow-port` で追加できます |
| ローカルホストへの外向き | 🔒 カーネルでブロック (macOS)、⚠️ Linux ではポートベース | ローカルサービスへのアクセスを防ぎます。インバウンドはプロキシ用に引き続き機能します。**Linux:** Landlock ルールはポート番号のみで、`localhost:443` と `remote:443` を区別できないため、許可されたポート上のローカルサービスに到達可能で、localhost 固有の拒否はありません。SSRF 保護には `--with-proxy` を使用してください。[Linux の制限](https://github.com/navikt/cplt/blob/main/docs/security.md#linux)を参照 |
| SSH エージェント (unix ソケット) | 🔒 カーネルでブロック (macOS)、⚠️ Linux では環境変数のみ | git 操作への署名やホストへの SSH を防ぎます。**Linux:** unix ソケットの `connect()` はゲートされないため、保留された `SSH_AUTH_SOCK` が唯一の障壁であり、自身で設定するエージェントはロードされた鍵を使用できます。`bwrap` は標準の OpenSSH ソケットを `/tmp` 配下に隠しますが、`$XDG_RUNTIME_DIR` 配下の gnome-keyring/gcr や systemd エージェントは隠しません。[Linux の制限](https://github.com/navikt/cplt/blob/main/docs/security.md#linux)を参照 |
| 開発者ツール (`~/.cargo`、`~/.gradle`、`~/.m2`、`~/.sdkman`、`~/.jenv`、`~/.pyenv`、`~/.konan` など) | ✅ 許可 (キャッシュは読み書き) | ディスク上に存在するディレクトリのみ。実行時に `cplt doctor` が検出した内容で絞り込まれます |
| レジストリ認証情報ファイル (`~/.m2/settings.xml`、`~/.gradle/gradle.properties`、`~/.cargo/credentials`) | 🔒 macOS ではカーネルでブロック。Linux では親ツールディレクトリが読み取り可能なまま | `--allow-read` で上書き。[プライベートレジストリ](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#private-registries)を参照 |
| `~/.npmrc` の読み取り | 🔒 カーネルでブロック (両プラットフォーム) | `--allow-read` で上書き。yarn 1 を壊します。[yarn 1](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#yarn-1-and-unreadable-home-rc-files) を参照 |
| Go ソースコード (`~/go/src`) | 🔒 カーネルでブロック | `~/go/bin` と `~/go/pkg` のみ読み取り可能 |
| `~/.ssh`、`~/.gnupg`、`~/.aws`、`~/.azure` の読み取り | 🔒 カーネルでブロック | |
| `~/.kube`、`~/.docker`、`~/.nais` の読み取り | 🔒 カーネルでブロック | |
| `~/.password-store`、`~/.terraform.d` の読み取り | 🔒 カーネルでブロック | |
| `~/.config/gcloud`、`~/.config/op` の読み取り | 🔒 カーネルでブロック | 個々のファイルは `--allow-read` で上書き可能。[クラウド認証情報](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#cloud-credential-directories)を参照 |
| `~/.config/cplt`、`~/.nav-pilot` の読み書き | 🔒 カーネルでブロック | *次回*の起動が何をできるかを決めるツール状態。`~/.config/cplt` はサブツリー全体として上書き不可。`~/.nav-pilot` 内では、固定された agentpakke ペイロードを読み取れるよう、名前付きパスは許可可能なままです |
| `~/.netrc`、`~/.pypirc`、`~/.vault-token` の読み取り | 🔒 カーネルでブロック | 両プラットフォームで上書き不可。`allow.read` で指定すると起動エラーになります |
| `~/.gem/credentials` の読み取り | 🔒 カーネルでブロック | 両プラットフォームで上書き不可。`allow.read` で指定すると起動エラーになります |
| `gh` CLI の破壊的操作 (merge、delete、release) | 🔒 コマンドでゲート (デフォルト有効) | `--no-gh-guard` でオプトアウト。[gh ガード](https://github.com/navikt/cplt/blob/main/docs/gh-guard.md)を参照 |
| デフォルトブランチへの `git push` | 🔒 コマンドでゲート (デフォルト有効) | `main`/`master` へのプッシュをブロックします。フィーチャーブランチへのプッシュは引き続き機能します。`protect_default_branch_only = false` はすべてのプッシュをブロックし、`git_guard.mode = "warn"` は警告のみ、`--no-git-guard` はオプトアウトします |
| 子プロセスの継承 | ✅ すべての制限がサブプロセスに適用されます | |

この表は要約です。サンドボックスはシステムファイル (SSL 証明書、`/etc/hosts`)、一時ディレクトリ (読み書き、実行なし)、システムツールパス (`/usr/bin`、`/opt/homebrew`) へのアクセスも許可します。完全な SBPL ルールを確認するには `cplt --print-profile` を実行してください。

完全なセキュリティモデル、脅威分析、テスト戦略については [SECURITY.md](https://github.com/navikt/cplt/blob/main/SECURITY.md) をお読みください。

## cplt の比較

### Codex CLI のサンドボックス

| 領域 | cplt | Codex CLI サンドボックス |
| --- | --- | --- |
| 外向きネットワーク制御 | ドメイン許可/ブロックリスト付き CONNECT プロキシ | ドメインレベルのフィルタリングなし |
| 環境変数の扱い | 許可リスト + 強化された環境変数注入 | より基本的なパススルーモデル |
| シークレットファイル保護 | リポジトリ内の `.env*`、`.pem`、`.key` などの拒否パターン | 主にディレクトリスコープのアクセス |
| リポジトリポリシー | 明示的な信頼/承認フロー付きの [`.cplt.toml`](https://github.com/navikt/cplt/blob/main/docs/configuration.md#per-repo-configuration-cplttoml) | リポジトリレベルのポリシーファイルなし |
| エージェントサポート | Copilot、OpenCode、Gemini CLI、Antigravity CLI、Pi、Claude Code、goose、DeepSeek Harness、またはシェル | Codex のみ |

cplt がすべての面で強いわけではありません。Codex CLI は現在 Linux 名前空間分離を備えており、読み取り専用や workspace-write といった明示的なサンドボックスモードをすでに公開しています。cplt にはまだそのモードマトリクスがありません。

### Docker ベースのサンドボックス

| 領域 | cplt | Docker ベースのサンドボックス |
| --- | --- | --- |
| 起動時間 | 通常の CLI 使用ではほぼ即時 | 通常はコンテナ起動が遅い |
| ネットワーク制御 | プロキシ経由のリクエスト単位の外向きフィルタリング | 通常はオール・オア・ナッシングのネットワークアクセス |
| ファイル制御 | パス単位およびパターン単位のルール | マウント単位の制御 |
| ホスト要件 | 単一バイナリ | Docker デーモンが必要 |
| 企業ノート PC への適合性 | Docker が利用できない、または制限されている環境で動作 | ローカルポリシーでブロックされることが多い |

Docker は一部の環境では依然としてより強力な分離を提供します。特に完全に分離されたファイルシステムとプロセス名前空間が必要な場合です。cplt はそれを、より軽量なセットアップと、すでに開発に使用しているマシンとのより緊密な統合と引き換えにします。

### VS Code エージェントモードの権限

VS Code エージェントモードなどのツールは、主に UI 権限に依存しています。cplt はその制限をカーネルで強制するため、エージェントはプロンプトや改変された指示でそれを回避することはできません。これは CLI エージェントと認証情報の露出にとって最も重要です:

- cplt は IDE の外でも動作します
- 環境変数はエージェントが起動する前にフィルタリングされます
- 機密ファイルはリポジトリ内に存在する場合でもブロックできます
- 同じ制限が子プロセスにも適用されます

### Claude Code のサンドボックス (Anthropic Sandbox Runtime)

[Anthropic Sandbox Runtime](https://github.com/anthropic-experimental/sandbox-runtime) (`srt`) は Claude Code が使用するサンドボックス層です。cplt と同じ高レベルのアプローチ、macOS Seatbelt とカーネルレベルの Linux 強制と HTTP プロキシですが、実装は異なります。

| 領域 | cplt | Anthropic srt |
| --- | --- | --- |
| 言語 / 配布 | 単一の Rust バイナリ | Node.js + npm パッケージ + 外部依存 |
| Linux バックエンド | Landlock LSM (依存なし、名前空間なし) | bubblewrap (ユーザー名前空間経由のコンテナ) |
| 環境変数フィルタリング | 厳格な許可リスト + サフィックス拒否 (`_TOKEN`、`_SECRET`) | 親環境全体を継承 (シークレットが通過) |
| 認証情報ディレクトリ保護 | 15 以上のディレクトリをデフォルトで拒否 | ユーザーが手動で設定する必要あり |
| DNS リバインディング保護 | ✅ DNS 後の IP をプライベートレンジと照合 | ❌ 未実装 |
| ネットワークプロキシ | HTTP CONNECT + ドメイン許可/ブロック | HTTP + SOCKS5 + 実験的 TLS MITM |
| SSH git | macOS ではカーネルでブロック (エージェントソケット拒否)。Linux では `SSH_AUTH_SOCK` のみ保留 | SOCKS5 経由でプロキシ |
| パッケージマネージャスクリプト | デフォルトでブロック (`npm_config_ignore_scripts`) | ブロックなし |
| エージェントサポート | Copilot、OpenCode、Gemini、Antigravity、Pi、Claude Code、goose、DSH、Shell | Claude Code |
| 設定 | TOML (グローバル + リポジトリ単位) | JSON (グローバルのみ) + `--control-fd` ライブ更新 |
| ライブラリ API | ❌ バイナリのみ | ✅ 埋め込み可能な TypeScript ライブラリ |

cplt はすぐに使える状態でより安全です: 環境変数フィルタリング、認証情報保護、DNS リバインディングチェック、ライフサイクルスクリプトのブロック。srt はより柔軟です: SOCKS5、TLS 検査、リクエスト単位のコールバック、ライブラリの埋め込み。Linux バックエンドの選択が重要です。bwrap は AppArmor の userns 制限のため Ubuntu 24.04+ で回避策が必要ですが、Landlock はカーネル 5.13 以降が必要なものの外部依存がゼロです。

### GitHub Copilot CLI 自身のサンドボックス

Copilot CLI は 2026 年 6 月からローカルサンドボックスを同梱しており、
標準シートに含まれています。Microsoft MXC を通じてシェルコマンドを実行し、
macOS、Linux、Windows でファイルシステム、ネットワーク、システムアクセスを制限します。
`/sandbox enable` で有効になります。

それがあなたの要件を満たすなら、それを使ってください。追加費用はかからず、cplt が対応していない Windows でも動作します。

それが行わないことが 2 つあります。

ポリシーはリポジトリではなく管理者と共にあります。企業は Intune や他の MDM を通じて
サンドボックスポリシーを設定します。コードの隣には何も存在しないため、
あるリポジトリにとって重要なルールは、コントリビューター、CI、または MDM が管理しない
ノート PC にまで追随できません。cplt ではポリシーはリポジトリ内の
`.cplt.toml` です。レビュアーはプルリクエストでその変更を確認でき、このファイルは
開発者自身の設定を厳しくすることはできますが、緩めることは決してできません。

それはプロセスを閉じ込めますが、プロセスが保持する認証情報で何をするかは閉じ込めません。
`/sandbox` タブはファイルシステム、ネットワーク、システム機能をカバーしており、
Git リポジトリ内ではエージェントにデフォルトで `.git` の読み書きが許可されます。
サンドボックス化されたエージェントは依然としてあなたの `gh` トークンとプッシュアクセスを持っています。
ブランチのプッシュ、プルリクエストのマージ、リポジトリの削除はすべて、認可されたクライアントからの
整形式の API 呼び出しであり、ファイルシステムやネットワークのルールはそれらについて何の意見も持ちません。
cplt は代わりに `git` と `gh` をラップします。エージェントは自由にコミット、ブランチ、リベースできます。
`gh pr merge`、`gh repo delete`、`gh release create` はデフォルトでブロックされます。
`main`/`master` への `git push` も同様です。フィーチャーブランチへのプッシュは引き続き機能します。
`protect_default_branch_only` が有効だからです。すべてのプッシュをブロックするには `false` に、
警告のみにするには `git_guard.mode = "warn"` に設定してください。

両方を実行するのは合理的です。MXC はプロセスを閉じ込めます。ガードはエージェントが
保持する認証情報で何をしてよいかを決定します。

### 正直なギャップ

- macOS は現在最も強力なファイルレベルの強制を備えています。Linux のカバレッジは改善中ですが同一ではありません。
- cplt はまだ単純な読み取り専用 / workspace-write / フルアクセスのポリシープリセットを提供していません。
- 完全なコンテナ分離が必要なら、cplt は Docker を置き換えようとはしていません。

## インストール

### Homebrew (推奨)```bash
brew install navikt/tap/cplt

mise はプラットフォームに適したリリースアセットを選択し、そのビルド来歴アテステーションを検証します。

バージョンを固定してください。私たちのバージョン文字列は比較可能な semver ではありません — 先頭にゼロがあり、ハイフンが 2 つ含まれているため、`mise latest` が最新リリースより古いリリースに解決されることがあります ([navikt/copilot#818](https://github.com/navikt/copilot/issues/818))。

### apt (Debian/Ubuntu、Linux では推奨)

[navikt/apt](https://navikt.github.io/apt/) は GitHub Pages 経由で提供される署名済みアーカイブで、amd64 および arm64 向けの cplt と nav-pilot を含んでいます:```bash
curl -fsSL https://navikt.github.io/apt/keyring/navikt-archive-keyring.gpg \
  | sudo tee /usr/share/keyrings/navikt-archive-keyring.gpg >/dev/null
echo "deb [signed-by=/usr/share/keyrings/navikt-archive-keyring.gpg] https://navikt.github.io/apt stable main" \
  | sudo tee /etc/apt/sources.list.d/navikt.list
sudo apt update && sudo apt install cplt

### curl | bash

Debian 派生ディストリビューション以外のディストリビューション、および CI 向け:```bash
curl -fsSL https://raw.githubusercontent.com/navikt/cplt/main/install.sh | bash

### リリースからダウンロード

お使いのプラットフォーム向けの最新ビルドを [GitHub Releases](https://github.com/navikt/cplt/releases/latest) から入手してください:```bash
# macOS, Apple Silicon (M1/M2/M3/M4)
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-aarch64-apple-darwin.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

# macOS, Intel
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-x86_64-apple-darwin.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

# Linux, x86_64
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-x86_64-unknown-linux-gnu.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

# Linux, ARM64
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-aarch64-unknown-linux-gnu.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

### ソースからのビルド```bash
git clone https://github.com/navikt/cplt.git && cd cplt
cargo build --release
sudo cp target/release/cplt /usr/local/bin/

`mise run install` および手動ビルドでは、cplt は `/usr/local/bin/cplt` に配置されます。Homebrew ビルドも `/opt/homebrew/bin/cplt` にある場合は、開発ビルドが優先されるように `PATH` の先頭に `/usr/local/bin` を追加してください:```bash
# Check which cplt is active
which cplt

# If it shows /opt/homebrew/bin/cplt, reorder your PATH:
export PATH="/usr/local/bin:$PATH"

Everything below runs **inside the distro** (`wsl`、または Windows Terminal の Ubuntu プロファイル内) で実行され、PowerShell では実行されません:```bash
# 1. Node. Copilot CLI requires Node 22+
#    Ubuntu 26.04 ships 22.x, so apt is enough:
sudo apt update && sudo apt install -y nodejs npm
#    Ubuntu 24.04 ships Node 18, too old. Use nvm, fnm, or NodeSource there instead.

# 2. GitHub CLI, and log in. Ubuntu's universe package works but lags
#    (2.45 on 24.04); add GitHub's apt repo if you want a current gh:
#    https://github.com/cli/cli/blob/trunk/docs/install_linux.md
sudo apt install -y gh
gh auth login

# 3. The agent, installed in the distro, never on the Windows side
npm install -g @github/copilot

# 4. cplt, from the apt archive. The default distro is Ubuntu, so this is
#    the same route as on any other Debian derivative.
curl -fsSL https://navikt.github.io/apt/keyring/navikt-archive-keyring.gpg \
  | sudo tee /usr/share/keyrings/navikt-archive-keyring.gpg >/dev/null
echo "deb [signed-by=/usr/share/keyrings/navikt-archive-keyring.gpg] https://navikt.github.io/apt stable main" \
  | sudo tee /etc/apt/sources.list.d/navikt.list
sudo apt update && sudo apt install cplt

# 5. Check the result
cplt doctor

シェルを検出し、rcファイルにエイリアスを追加して、実行内容を出力します。何度実行しても重複は追加されません。

`--agent` はどのコマンドにエイリアスを付けるかを選択し、cpltが起動できるすべてのエージェントが利用可能です:```bash
cplt --shell-install --agent opencode   # 'opencode' runs sandboxed
cplt --shell-install --agent claude     # and 'claude', alongside the others