AIエージェントへ使い捨てVMを与える実測検証
Clawk v0.2.0上で合成リポジトリを修正し、ホストからの隔離、通信許可リスト、別環境でのテスト、再起動後の状態を確認しました。
- Tested question
- ホストのMacを直接操作させず、専用VM内で依存導入とコード修正を行い、成果コードだけを残せるか。
- Exact tools
- Clawk v0.2.0
- Claude Code runner
- macOS 26.3.1
- guest Linux 6.18.15 aarch64
- Go 1.26.5
- Python 3.11.2
- Exact models
- claude-fable-5
- Validation method
- 合成Pythonリポジトリとダミーファイルで、リポジトリ外の不可視性、未許可通信、VM内への依存導入、ホスト・ゲスト双方のテスト、完全停止後の状態を確認しました。
- Result
- 約60.8秒・11ターン・途中介入0でsrc/report.pyのみ変更し、ホスト・ゲストとも2/2テスト成功。VM内Pythonは完全停止後に消え、ホスト側のコード変更は残りました。
- Limitations
- 正式版前のClawk v0.2.0を使った合成課題1回です。
- 本物の秘密情報を使う侵入テストではありません。
- 許可済み宛先への送信、リポジトリ内の秘密情報、SSH、push権限、認証トークンは別途管理が必要です。
- この結果は安全性を保証するものではありません。
Evidence (1)
Artifacts (1)
強い権限と境界を分ける
エージェントに依存導入やコード修正を任せる一方、ホスト上の他ファイルと未許可の外部通信から分離できるかを確認しました。未許可宛先の拒否ログ、修正差分、VM内外のテスト、再起動後の状態までを追っています。
観察した範囲では意図した境界が機能しましたが、安全を自動的に保証する仕組みではありません。実運用では許可先、認証情報、リポジトリ権限を別々に設計する必要があります。