そう、これは数十年前に解決されたことだよ。人間があなたのファイルを読むのをどうやって止める？chmod 600だよ。

AIエージェントは、そういったファイルにアクセスするための別の手段を探ることを忘れないでね。https://news.ycombinator.com/item?id=48348578

おそらく、これが解決されていないのは、人々がbashツールの使用にも適用されることを期待しているからだと思う。「read」や「edit」ツールだけじゃなくて、エージェントが「make」を呼び出したときにファイルがアクセス可能であることを期待しているから、完璧に解決するのが不可能になってるんだよね。それに、データ収集を防ぐ機能を追加する理由は何？そのデータが会社をさらに価値のあるものにするし、今の政府からいい取引をもらえるかもしれないのに。

その通りだね。Codexがこれを強制すべきだという考えは、セキュリティの境界を間違ったレイヤーに置いているよ。もしコードが何かにアクセスできないようにしたいなら、アクセスできないようにすればいいんだ。

エージェントをサンドボックス化してないなら、君のコンピューター上のすべてが露出するのを待ってる状態だよ。ファイルの権限で守れると思うのは、ちょっと甘すぎるよ。

サンドボックス化は解決済みの問題だね。エージェントを実行するためのファイアクラッカーインスタンスを提供している業者はたくさんいるよ。解決すべき問題は、コーディングエージェントのタスク特有の最小権限バージョンをどう定義するかだね。

確かにそうなんだけど、_どんな_ツールの出力（例えばstdoutや手作りツール）とLLMの間には、ハーネスの中に別のレイヤーがあるんだ。ツールがファイルを読むことはできるけど、エージェントのハーネスが出力を修正してLLMに返す前に、内容がファイルの内容と一致したら削除することもできる。Plotly Studioでは、ユーザー入力の文字列のエントロピーをチェックして、高エントロピーの文字列を「潜在的なクレデンシャル」としてフラグ付けして、ユーザーに知らせてる。これには回避策もあるけど、LLMはツールを使ってファイルの内容を直接読むのとは違う方法で読むことができるから、エージェントのハーネスレイヤーはツールの出力とLLMのリクエストの間で決定論的なロジックを許可しているってことだね。

今すぐできるよ：Codexを実行するユーザーがファイルを読めないようにファイルの権限を変更するか、ファイルをマウントせずにコンテナ内でCodexを実行すること。これはかなり不便だね。私は、通常のユーザーコンテキストの制限されたバージョンでコーディングエージェントを実行したいんだ、別のマシンみたいに動くものじゃなくて。 > モデルが「rg foo」を実行したら、そのファイルの一つに「foo」という文字列が含まれてたらどうなるの？ツールの出力がアップロードされて、その中にファイルの内容が含まれるよ。Codexがサンドボックス内でrgを実行して、サンドボックスがfooを読めないってこと。なんでこのモデルがこんなに理解しづらいの？Codexはすでにbwrapやシートベルトなどのサンドボックスの下でさまざまなコマンドを実行してる。私はCodexをサンドボックス内で全て実行するように拡張しただけ。エスカレーションは、コマンドをサンドボックス内で実行するかどうかの問題じゃなくて、モデルが要求したことに対してどのサンドボックスポリシーを適用するかの問題だよ。 > 唯一の解決策は、Codexプロセスがそれらのファイルにアクセスできないようにすることだ。これは違うよ。制限はモデルが実行するツールにのみ適用されるべきで、Codexプロセス自体には適用されない。ハーネスとそのツールの間にプロセスとサンドボックスの境界を常に挿入できる。Codexはほとんどの時間でこの境界を挿入してるし、私はそれを常に行うようにCodexを拡張したんだ、ファイル読み取りツールみたいなものでもね。うまくいってるよ。 > これが解決されていないのは、主に人々がbashツールの使用に適用されることを期待しているからだと思う。そうだよね？シェルツール[1]に適用するのは簡単だよ。実際、サンドボックスを非シェルツールに適用する方が難しい。概念的には難しくないんだ：サンドボックスポリシーを定義して、許可されていることとそうでないことを書き出して、OSレベルの軽量サンドボックスツールを使ってモデルが行うすべてをこのポリシーでフィルタリングすればいいだけ。マジで、そんなに難しくないよ。Codexプロセス自体をサンドボックスする必要もないし。なんで人々がそれをする必要があると思っているのか、全くわからない。モデルには、CodexというPOSIXプロセスに任意のことをさせる能力はないからね。[1] ほとんどのユーザーがzshを使っているのに、「bashツール」と呼ぶのは拒否するよ。

人々はそのファイルにアクセスできることを期待している、つまりエージェントが「make」を呼び出すと、完璧に解決するのが不可能になる。 エージェントがファイルにアクセスできない状態で、指定されたコマンドを実行できるようにsetuidを使う手もあるよ。