ガードレール / セキュリティ

codex-securityガードレール

基本形は`npx @openai/codex-security scan .`で、結果のJSONはstdoutに出ます。`--mode deep`ではworkerとsubagentを並べ、新しい検出が出なくなるまで探索を続けます。再スキャン時は`scans compare BEFORE_SCAN_ID AFTER_SCAN_ID`が根本原因で前回と突き合わせ、new／persisting／reopened／resolved／unknownに分類するため、差分だけを追えます。ただし探索は既定で96時間まで回る長丁場であり、コミット前の軽量チェックには向きません。実行にはCodex Securityへのアクセスが前提で、一部のサイバーセキュリティ要求やprotected findingsはTrusted Access for Cyberの承認が必要になる点も、導入前に確認しておきたいところです。

cloudflare-os実行環境

Cloudflare OSは、エージェントとの対話と、そのエージェントが書き上げる小型アプリ（Gadget）を同じ画面に載せた業務環境です。Gadgetのサーバー側はインターネット接続を無効化したDynamic Worker、クライアント側はサンドボックス化したiframeで動き、両者の通信はpostMessage経由のCap'n Web RPCに限られます。外部サービスへは利用者が明示的に「紹介」したリソースだけにGatekeeper経由で到達し、副作用のある操作はいったん模擬結果を返してエージェントを止めずに進ませ、実行そのものは後からまとめて承認・却下できます。ただし設計はWorkers固有の機能に深く依存しており、ワークスペースはDurable Object、GadgetはDynamic WorkerのFacetとして動きます。自前サーバーのworkerdへ載せる手順はREADMEでもCOMING SOONのままで、実質的な選択肢はCloudflareアカウントへのデプロイになります。2026年8月時点のv2は開発元自身がearly accessと位置づけているうえ、Gatekeeper側にも接続先ごとの設定が必要なものが多く、サービスによってはOAuthクライアント資格情報の取得が必要です。

agentgatewayガードレール

エージェントと、その呼び出し先——モデルプロバイダ、MCPサーバー、他のエージェント——の間に置くRust製のデータプレーンです。認証、RBAC、レート制限、OpenTelemetryへの送出をエージェントごとに実装せず、ここで一度だけ設定します。Solo.ioが2025年8月にLinux Foundationへ寄贈し、2026年6月にはMCPやgooseと同じAgentic AI Foundationの傘下へ移りました。ただしリクエスト経路上に置く基盤としては歴史が浅く、下流のMCPサーバーへ利用者ごとの識別情報を引き渡す仕組みは未対応の課題として残っているため、必要な認証方式を先に確認してください。

numbatガードレール

デスクトップ・CLI・IDE・ゲートウェイの各エージェントの動きをhookやplugin、OTLP/HTTPのログエクスポータ経由で取り込み、単一のイベントモデルへ正規化したうえでローカルのCELルールで評価し、events・findings・enforcement決定をバージョン付きNDJSONとして書き出します。`numbat scan`はディスク上のセッション成果物を読むため、事前に計装していなかった過去の作業も後から再構成できます。一方で遮断は保守的な設計で、enforceモードは既定で無効、同梱ルールはすべて監視専用なので、実際に止めるにはルールYAMLを運用側のディレクトリへ複製し、idを保ったままenforce: trueを追加してversionを上げる手順が必要です。観測できる範囲はエージェントとサーフェスごとにcoverage matrixで決まり、永続化されなかった活動は後から復元できず、findingsは実行された事実の証明ではなくルールの一致にすぎません。網羅的な記録や確定的な事実認定を期待する用途には向きません。