GitHub、Copilotのエンタープライズ向けサンドボックスをJetBrainsに導入――中央ポリシーで認証情報とネットワーク送信を制限可能に

GitHubは9月8日、JetBrains IDE内のCopilotをアップデートした。焦点は新しいモデルの追加ではなく、企業管理者が`managed-settings.json`からローカルエージェントの実行境界を強制的に設定できるようにすることだ。ポリシーでは、サンドボックスの有効化を必須にし、バックエンドがポリシーを検証またはコンパイルできない場合に`failIfUnavailable`によってモデルとツールの実行を阻止できる。さらに、個別のバイパスを無効化し、作業ディレクトリへの書き込みを制限し、外部ネットワークおよびローカルネットワークへのアクセスを遮断できるほか、GitHub CLIやGit HTTPSの認証情報の注入、macOS Keychainの読み取りも禁止できる。

この仕組みでは、「制限は厳しくする方向にのみマージできる」というセマンティクスが採用されている。企業が設定した拒否ルールはユーザーの許可ルールより優先され、ファイルの読み書きに関する許可リストは、各管理ソースの設定と正確に一致していなければならない。MCP、LSP、パッケージキャッシュ、プライベートregistryを併用するチームにとって、これはUIで単に「Allow All」を無効にするよりも、監査可能な最小権限ポリシーに近い。新版ではポリシー診断インターフェースも提供され、端末に実際に適用された制限を確認できる。Copilot CLIは`/ide`を通じて、現在選択されている内容、診断情報、ファイル参照を受け取ることができ、IDEターミナルの環境とPython仮想環境も引き継ぐ。

ただし、境界については引き続き慎重な検証が必要だ。公式ドキュメントには、エージェントサーバーがローカルで起動された場合に限ってローカルサンドボックスの制約を受け、リモートMCPはその対象外であることが明記されている。また、組み込みのGitHub MCPサーバーは、企業のMCP拒否リストでもブロックされない。エージェントがHTTP proxyを無視する可能性もあるため、proxy自体を完全なネットワーク送信制御と見なすことはできない。JetBrainsとの統合では引き続きGitHub OAuthによる認証が使用され、JetBrains AIやBYOKアカウントとは分離されている。エンジニアリングチームは、設定画面に「managed」と表示されることを確認するだけでなく、プレビュー期間中にパッケージのインストール、プライベートregistry、LSP/MCPの子プロセス、フェイルクローズ動作をテストすべきだ。