AWSは2026年10月15日、Kiroのローカルサンドボックスを解説しました。AIエージェントが実行するコマンドのアクセス範囲を、基本ソフトであるOS側で制限する機能です。一般提供中ですが初期設定では無効のため、利用部門では導入済みかどうかだけでなく、有効化の状態を確認する必要があります。
隔離するのは実行コマンド、承認要求は残る
ローカルサンドボックスは、コマンドを動かせる範囲を限定する仕組みです。AWSによると、エージェント自体を隔離するのではなく、エージェントが実行するコマンドだけを制限します。
標準ポリシーはプロジェクトへの書き込みを許可する一方、一般的な認証情報のパスへのアクセスを拒否します。シェルやスクリプトを経由した場合も、この読み取り制限が適用されるとしています。モデルやKiroバックエンドへの接続に使う認証情報は、隔離領域に渡しません。
ネットワーク通信は、ドメイン単位で制限するローカルプロキシを必ず経由し、承認済みサービス以外へのアクセスを遮断するとしています。細かなアクセス範囲は、既存のpermissions.yamlにルールを追加して調整します。
ただし、有効化してもコマンドの承認要求はなくなりません。また、ローカルMCPサーバーは従来どおり動作し、必要に応じて隔離対象にできます。社内ルールでは、コマンドの制限、承認の手順、MCPサーバーの扱いを分けて確認するのがよいでしょう。
設定ファイルとOSごとの準備を確認
対象はKiro IDE 1.3以降と、Kiro CLI 2.31以降のローカルV3セッションです。隔離にはmacOSでSeatbelt、Linuxでbubblewrap、WindowsでAppContainerを使います。Linuxではbubblewrapとsocatのインストールが必要で、Windowsは初回に管理者権限でセットアップします。
全体設定の配置先は~/.kiro/settings/sandbox.json、プロジェクト設定は<project-root>/.kiro/settings/sandbox.jsonです。有効化するには、sandbox.jsonのenabledをtrueに設定します。
IDEではコマンドパレットからサンドボックスの設定を開けます。有効化後はステータスバーにCommand sandbox: Activeと表示されます。CLIではkiro-cli chat --v3のセッションで/sandbox onを実行します。
日本での提供は発表には書かれていません。日本語対応や日本向け価格についても記載はありません。
影響する会社・しない会社
- 影響する: Kiro IDE 1.3以降を使う会社です。初期設定では無効のため、隔離を前提に利用を認めている場合は、実際の有効化を確かめる必要があります。
- 影響する: Kiro CLI 2.31以降のローカルV3セッションを使う会社です。対象セッションと有効化の操作を利用者に確認します。
- 影響しない: Kiroを利用していない会社では、今回の機能に伴うKiroの設定変更は不要です。
- 影響しない: 上記より前の版やローカルV3以外のセッションは、今回示された対象条件には含まれていません。それらの環境の隔離方法は、発表には書かれていません。
情シスが今日やること
- 利用部門に版と実行環境を確認する。 今日の棚卸しで、IDEかCLIか、バージョン、OSを記録します。CLIはローカルV3セッションを使っているかも確認します。
- 次回の利用前に、有効化を確認する。 IDEのコマンドパレットから設定を開き、全体用とプロジェクト用の
sandbox.jsonを確認します。IDEはステータスバーの表示、CLIは対象セッションでの/sandbox onの実行を確認します。
- 有効化前に、端末の準備を担当者と合わせる。 Linuxでは必要なパッケージの導入状況を確認します。Windowsでは初回セットアップの管理者権限を誰が扱うか、開発部門と端末管理担当で決めます。
- 業務利用の確認時に、許可範囲を点検する。 開発担当と
permissions.yamlを確認し、必要な接続先と認証情報の保存場所を照合します。ローカルMCPサーバーを隔離対象にするかも決めます。
- 次回の利用前に、承認手順を周知する。 サンドボックスを有効にしても承認要求は残ることを利用者に伝えます。設定記録には、有効化の状態と許可範囲を残してください。
