Zedは8月5日(現地時間)、開発環境「Zed」のエージェントパネル内におけるサンドボックス機能のサポートを開始しました。この機能は、エージェントがターミナルおよびフェッチツールを利用する際の操作をオペレーティングシステムによって強制的に制限するものです。バージョン1.14のリリースから、全てのユーザーに対してデフォルトで有効化されます。ユーザーはエージェントの行動を厳密に制御できるようになり、意図しない挙動やプロンプトインジェクション攻撃からの防御を強化します。
サンドボックス機能の導入は、エージェントの行動に対するユーザーの厳格な制御を可能にすることを目的としています。これにより、エージェントがユーザーの意図に反する行動を取る可能性を低減し、悪意のあるプロンプトインジェクション攻撃に対する防御を強化します。デフォルトのサンドボックスルールでは、エージェントによるプロジェクトディレクトリ外への書き込み、.gitへの書き込み、および外部へのネットワークリクエストが禁止されます。
エージェントは、特定の操作のために一時的な権限昇格をユーザーに要求することが可能です。ユーザーは要求された権限とその理由を確認し、その権限を「一度限り」「スレッド中」「永続的」のいずれかの期間で許可するかを選択できます。しかし、エージェントによる.gitディレクトリへの書き込みは、サンドボックス外でフックが実行されるリスクがあるため、いかなる場合も許可されません。
このサンドボックスは、オペレーティングシステム（OS）のAPIを利用して実装されています。具体的には、macOSではシートベルト (Seatbelt)、Linuxではバブルラップ (Bubblewrap)を介した名前空間、WindowsではWSL（Windows Subsystem for Linux）がそれぞれ活用されます。この実装により、エージェントが指示に従順であるかどうかに依らず、システムレベルで強制的なアクセス制限が適用されます。現代のLLM（大規模言語モデル）が指示への従順性において高い性能を示す場合でも、プロンプトインジェクション攻撃などによる迂回策に対し、リソースへのアクセスを根本的に遮断することで堅牢な防御を提供します。
サンドボックスの実装は複雑であり、単一のバグがセキュリティ上の脆弱性を招くリスクが存在します。Zedは、例えばシンボリックリンクスワップ (symlink swap)と呼ばれる、タイムオブチェック・タイムオブユース（TOCTOU）の脆弱性を悪用した攻撃に対し、サンドボックスがこれを捕捉し、不正なコマンドの実行を阻止する仕組みを有しています。しかし、このサンドボックスは防御の多層化戦略の一部であり、Zedエージェント内のエディットツールやACP LSP (ACP Language Server Protocol)、MCPサーバー (MCP server)、通常の組み込みターミナル、外部プログラムなど、他のツールやサンドボックス外でのユーザー行動は保護の対象外となります。