開発端末のAIエージェントとMCP設定を棚卸しするOSS「Dev Machine Guard」を解説

「開発者が自分の端末にどんなAIエージェントを入れているのか、情報システム部門では誰も把握していない」「拡張機能やMCPサーバーが悪用された話は聞くが、自社で何が使われているかを確かめる手段がない」——開発部門を抱える企業のセキュリティ担当者が、ここ1年でよく口にするようになった二つの悩みです。こうした悩みは、検知の道具を一つ入れれば解決するように見えます。しかし本当の課題は、道具の有無ではありません。開発者の端末の中で何が動いているかを一覧にし、その一覧を誰が、どこで、何のために見るかが決まっていないことです。この記事では、開発者の端末にあるAIエージェントやMCPサーバーの設定、拡張機能を棚卸しするOSS「Dev Machine Guard」を取り上げ、何を読み取り、集めた結果をどこへ送るのかを一次情報で確かめます。導入や実行の手順は扱いません。

Dev Machine Guardとは何か。2026年10月時点で確かめられる事実

Dev Machine Guardは、GitHubで公開されているOSSです。READMEでは「開発者の端末にあるAIエージェント、MCPサーバー、統合開発環境の拡張機能、不審なファイル、危険なパッケージ管理の設定を数秒で走査する」と説明されています。Go言語で書かれた一つの実行ファイルとして配られ、ほかの部品に頼らずに動く作りだとされています。

公開元を確かめます。リポジトリはStepSecurity社の組織のアカウントで2026年3月10日に作られ、ライセンスはApache-2.0です。2026年10月18日時点でスターは192、派生は24、最後の更新は10月17日でした。組織のアカウントは2021年8月10日に作られ、公開しているリポジトリは646件あります。企業向けの製品を持つ会社のアカウントで、作ったばかりの匿名のアカウントが出しているものではないと分かります。

版の動きも見ておきます。リリースの一覧で確かめられる最新は2026年9月25日公開の1.17.0で、変更履歴には10月5日付けの1.18.0の記載もあります。版の番号が1.8.1から始まっている理由は、別の文書で説明されています。3月の公開から半年あまりで10回以上の版を重ねており、機能の追加と不具合の修正がかなり速い速度で続いていることが変更履歴から読み取れます。

なぜ今、開発者の端末の「道具の層」が狙われるのか

READMEは冒頭で、開発者の端末を「新しい攻撃対象」と位置づけています。理由として挙げられているのは、端末にGitHubの鍵、クラウドの認証情報、遠隔接続の鍵といった価値の高い情報があり、依存する部品やAIを使った道具を通じて、確かめていないコードを日常的に動かしている点です。READMEは続けて、悪意のある拡張機能が認証情報を盗んだ例、不正なMCPサーバーがコードに触れうる例、乗っ取られた部品が秘密の情報を持ち出した例に触れています。

ここで押さえたいのは、こうした道具の多くが開発者自身の判断で入れられる、という点です。拡張機能もAIエージェントもMCPサーバーも、会社の申請を通さずに数分で使い始められます。端末管理の仕組みは、端末の設定や基本ソフトの更新状況は見ていても、開発者が自分で足した道具の一つひとつまでは見ていないことが多いのが実情です。

READMEが示す比較表でも、従来の端末の監視・管理の仕組みは「端末の状態と規程への適合」や「マルウェアの検知」を担い、拡張機能や開発用の道具の点検は担わない、と整理されています。そのうえで、この道具は既存の端末監視・管理の仕組みを置き換えるものではなく、補うものだと明記されています。役割の分担をはっきりさせている点は、導入を考えるうえで参考になります。

何を棚卸しするのか：AIエージェントと開発ツール

走査の範囲の一覧によると、まず洗い出すのは統合開発環境とAI関連の机上アプリです。続いて、コマンドで使うAIの道具、汎用のAIエージェント、手元でAIモデルを動かす仕組みが対象になります。READMEには、Claude Code、Codex、Gemini、Ollamaなどの名前が例として挙がっています。

AIエージェントに組み込む追加機能も対象です。Claude Code、Codex、GitHub Copilotについて、入れている追加機能の記録や、スキル（エージェントに覚えさせる作業手順）の使用回数の記録を読み取るとされています。変更履歴では、9月の版でこの棚卸しが加わり、10月の時点でGitHub Copilotの追加機能にも対象が広がったことが確認できます。AIエージェントそのものだけでなく、エージェントに足した道具まで一覧にする方向へ広がっていることが分かります。

走査の範囲の文書には、追加機能を調べる処理について「追加機能、フック、スクリプト、エージェントのコマンドを実行せず、外への通信もしない」と書かれています。追加機能の中の指示の本文や、認証情報、設定ファイルの全体は送らないとされています。つまり、中身を動かして確かめるのではなく、端末に残っている記録から読み取る作りです。読み取れる範囲には限りがあり、実際に有効になっているかどうかまでは分からない場合がある、とも書かれています。

MCPサーバーの設定をどこまで読むのか

MCP（AIエージェントが外部の道具やデータにつながるための共通の取り決め）の設定は、この道具が特に力を入れている部分です。専用の文書によると、Claudeの机上アプリ、Claude Code、Cursor、Windsurf、Codexなど、10種類あまりの道具の設定ファイルを対象にしています。MCPサーバーは、ファイルの読み書き、コマンドの実行、外部の仕組みへの問い合わせといった力をAIエージェントに与えるため、どのエージェントがどこにつながっているかを知ることは、守りの出発点になります。

集める項目も明記されています。サーバーの名前、起動に使う命令とその引数、接続先の住所、設定ファイルの置き場所です。一方で、設定の中の環境変数の欄や通信の見出しの欄には鍵やトークンが入っていることが多いため、集める前に取り除くとされています。書式の決まった設定に限って必要な項目だけを抜き出し、読み解けない書式の設定は、置き場所だけを報告して中身は集めない作りです。

ただし、注意したい点があります。集める項目には「引数」が含まれます。設定の書き方によっては、引数の中に社内の接続先の名前や、本来は環境変数に置くべき値が直接書かれていることも考えられます。これは推測ですが、取り除かれるのは決まった欄だけで、引数の中身までは選り分けられない可能性があると見ておくのが安全です。なお、無料で使う形では、画面や報告書に表示されるのは設定の出どころ、提供元、置き場所だけで、中身は表示されないとされています。

拡張機能とブラウザ、パッケージ管理の設定の点検

拡張機能の棚卸しも中心の機能です。READMEによると、VSCode系の編集ソフト、JetBrains系の開発環境などの拡張機能について、名前、提供者、版を一覧にします。ブラウザの拡張機能も対象で、Chrome、Edge、Firefoxの状態ファイルから、拡張機能の識別、有効かどうか、入手元、ブラウザが認めている権限を読み取ります。閲覧の履歴、クッキー、保存したパスワード、ページの中身は開かないと書かれています。

パッケージ（部品）の一覧も作れます。JavaScript系、Python系、Homebrewの部品は、無料で使う形では本人が選んだときだけ調べる設定です。Linuxではシステムの部品も調べます。加えて、パッケージ管理の設定の点検があります。どこから部品を取ってくるか、公開されたばかりの版をすぐ取り込まない待ち期間の決まりがあるか、どんな認証の設定があるかを確かめます。部品そのものより、部品を取ってくる経路の設定に目を向けている点が特徴です。

認証の設定については、値そのものではなく「設定されているかどうか」として扱う、と走査の範囲の文書に書かれています。接続先の住所に含まれる認証情報は端末の上で取り除くとされます。また変更履歴によると、9月の版では、開発ツールが認証情報を保管している場所と、その場所の守られ方を一覧にする機能も加わりました。鍵の中身ではなく、鍵がどこに置かれ、どう守られているかを見るという考え方です。

不審なファイルの検知と、その規則の置き場所

READMEは、部品の取り込みの決まった手順の外で動くよう仕込まれたファイルを「侵害の痕跡」として拾う機能を紹介しています。例として、部品を取り込むときに動く構成ファイルや、計画を開いたときに自動で動く編集ソフトの設定ファイルが挙げられています。検知の規則は提供元が作って保守し、新しい攻撃の手口が見つかると規則がまとめて更新される、と説明されています。報告されるのはファイルの置き場所と当てはまった規則だけで、ファイルの中身は集めないとされています。

ソースコードの中の説明書きには、規則の扱いがより詳しく書かれています。規則は「データであってコードではない」とされ、命令や実行ファイルの置き場所、通信先を含められない作りです。一方で、規則は道具の中に同梱されておらず、提供元のサーバーにだけ置かれ、実行の開始時に取得するとも書かれています。取得に失敗した回は何も調べず、手元の規則に切り替えることもしない、とされています。

ここで分かりにくい点が残ります。READMEの比較表では、不審なファイルの検知は無料で使う形でも使えると書かれています。ところが、確認できた範囲のソースコードでは、規則の取得は企業向けの接続先と鍵が設定されたときの処理の中にあり、無料で使う形の走査の処理には見当たりませんでした。記述どうしの関係は、現時点で確認できる情報からは判然としません。無料で使う形で不審なファイルの検知に頼れるかどうかは、提供元に確かめるべき点です。

集めた結果はどこへ行くのか：無料版と企業向けの違い

この記事で最も確かめたかったのが、集めた結果の行き先です。無料で使う形について、公式文書ははっきり書いています。「データは端末の外へ出ない。提供元のサーバーも、外への問い合わせも、利用状況の送信もない」。結果は画面に出すか、手元に報告書のファイルとして保存するだけで、ネットワークを通じて何かを送ることはないとされています。

企業向けの有料の形では事情が変わります。READMEには「走査の結果は、一元的に見るために提供元のサーバーへ送られる」と明記され、結果を提供元の管理画面へ送る命令も用意されています。提供元の導入文書によると、通信は外向きの暗号化された通信に限られ、行き先は提供元のサーバー、結果を受け取るために提供元が管理する保管先、そして配布元のGitHubです。社外のサービスへ結果を送る機能は、企業向けの形として明確に備わっているということです。

送られる中身にも触れておきます。READMEによると、端末の識別には既定で機器の製造番号が使われ、別の識別子を決めた場合も製造番号は別の欄で報告されます。ソースコードでは、送る内容に機器名や利用者の識別も含まれる作りになっています。また企業向けの形では、実行の記録が不具合の調査のために提供元へ送られるとされています。「誰の、どの端末に、何が入っているか」が社外の管理画面に集まるという前提で、契約と社内規程を確かめる必要があります。

同じ実行ファイルが両方の形を担っている点も重要です。READMEは「企業の利用者も、このリポジトリのまったく同じ実行ファイルを使う。閉じた別版はない」と述べています。つまり、どちらの形になるかは道具の種類ではなく設定で決まります。無料の形で使っているつもりでも、企業向けの設定が入れば送信が始まる、という見方で運用を組むのが妥当です。

既存の端末管理とどう違うのか

READMEの比較表と提供元の導入文書をもとに、既存の仕組みと、Dev Machine Guardの二つの使い方を並べます。どちらが優れているかではなく、何を見て、結果がどこにあるかの違いとして読んでください。

見る点	既存の端末監視・管理	Dev Machine Guard（無料で使う形）	Dev Machine Guard（企業向けの形）
主に見るもの	端末の状態・規程への適合・マルウェア	AIの道具・MCP設定・拡張機能・部品の設定	無料の形と同じ範囲に加え、部品の一覧が既定で有効
結果の置き場所	各製品の管理画面	手元の画面と報告書ファイルのみ	提供元のサーバーと管理画面
社外への送信	製品による	なし（公式文書に明記）	あり（提供元のサーバー・保管先・GitHub）
定期的な走査	製品による	なし	あり（各基本ソフトの予定実行の仕組み）
方針の適用・通知	製品による	なし	あり
配り方	各製品の方式	個々の端末で取得	既存の端末管理の仕組みから配布用の小さな手順書を配る

表のとおり、無料で使う形は「その場で一覧を作って手元で見る」ための道具で、企業向けの形は「多数の端末の一覧を提供元の管理画面に集める」ための仕組みです。READMEは、Jamf、Kandji、Intuneといった既存の端末管理の仕組みと並べて配る使い方を挙げています。既存の仕組みが見ていない層を足す位置づけであり、置き換えではありません。

配り方にも工夫があります。提供元の導入文書によると、企業向けの形では、端末管理の仕組みから小さな手順書を一度配り、その手順書が実行のたびに提供元から電子署名つきの版の一覧を受け取り、GitHubから取った実行ファイルの照合値を確かめてから動かすとされています。更新のたびに配り直す手間が省ける一方で、どの版がいつ端末で動くかを、提供元の配布の仕組みに委ねることにもなります。

安全性の評価：紹介可とした根拠

このラインでは、紹介するOSSを公開されている事実だけで精査しています。OSSを入手したり動かしたりはしていません。Dev Machine Guardの判定は「紹介可」です。

根拠にした事実は次のとおりです。運営はStepSecurity社の組織のアカウントで、2021年8月に作られ、公開しているリポジトリは646件あります。スターの伸びは1日あたり約0.9件で、不自然な水増しの兆候は見られませんでした。GitHub上にこのリポジトリのセキュリティ勧告は登録されておらず、ライセンスはApache-2.0で商用も含めて使えます。リポジトリの直下にあるのは組み立て用の設定で、取り込みのときに自動で動く処理は見当たりませんでした。

脆弱性の報告の窓口も用意されています。報告の方針では、公開の場ではなく専用の連絡先へ知らせるよう求め、48時間以内に受け付けの返事をし、5営業日以内に詳しい回答をするとしています。対象には企業向けの形で使う提供元のサーバーの仕組みも含まれます。ただし、勧告がないことや自動で動く処理がないことは、安全の保証ではありません。精査は公開情報の範囲に限られ、コードのすべてを検証したものではないことを添えておきます。

導入前に知っておきたい注意点

第一に、企業向けの形では結果が社外へ送られる点です。前の章で見たとおり、送り先は提供元のサーバーと提供元が管理する保管先で、端末の製造番号や機器名、利用者の識別も含まれます。開発者の端末に何が入っているかは、攻撃者にとっても価値のある情報です。社外に預ける前に、契約上のデータの扱い、保管の期間、削除の方法を文書で確かめる必要があります。

第二に、企業向けの形では、読み取るだけでなく端末の設定を書き換える機能もある点です。READMEによると、端末の方針として、Python系の部品の取得先を提供元の管理する配布元だけに切り替える設定を書き込めます。ソースコードの説明では、Claude CodeやCodexに観察用の仕組みを組み込む機能もあり、現時点では記録のみで操作を止めることはしないとされています。どの機能を有効にすると、開発者の端末の何が変わるのかを、機能ごとに把握しておく必要があります。

第三に、版の動きが速く、走査の精度に関わる修正も続いている点です。変更履歴には、追加機能の雛形をMCPサーバーとして数えてしまい、ある端末では本来7件の設定が53件に膨らんでいた不具合や、Linuxで版を調べる処理が別のアプリの画面を開いてしまった不具合の修正が記録されています。修正の記録を丁寧に残している姿勢は評価できる一方で、結果の数をそのまま信じず、抜き取りで確かめる運用が要ります。報告の方針で支えるのは最新の版だけとされている点も押さえておきます。

第四に、日本語での紹介がほとんど見当たらない点です。確認した範囲では、日本語で仕組みや送信先を整理した資料は見つけられませんでした。検討するときは、公式の英語の資料を読める担当者を決め、確かめた内容を記録に残す進め方が現実的です。

悪用されうるリスク

Dev Machine Guardは守りのための道具で、攻撃に使うためのものではありません。それでも、使い方しだいで生まれうる危険はあります。最も大きいのは、集めた一覧そのものが、攻撃者にとっての地図になることです。どの端末にどのAIエージェントが入り、どのMCPサーバーにつながり、どの拡張機能が入っているかが分かれば、狙う相手と経路を選びやすくなります。

ここからは推測ですが、検討の材料として無視できません。無料で使う形で作った報告書のファイルを共有の場所に置いたまま忘れれば、社内の誰でも読める地図が残ります。企業向けの形では、管理画面の利用の鍵や、端末に保存される送信用の鍵が漏れた場合、第三者が一覧を見たり、偽の結果を送り込んだりする可能性が考えられます。READMEによると、送信用の鍵を含む設定は、本人だけが読み書きできる権限で端末に保存されるとされています。報告書と鍵を、一覧と同じ重さの情報として扱うことが前提になります。

もう一つは、道具そのものの配布経路が狙われる危険です。企業向けの形では実行のたびに提供元から版の一覧を受け取る作りのため、配布の仕組みは電子署名と照合値で守られているとされます。それでも、端末の広い範囲を読む権限を持つ道具であることに変わりはありません。配布経路が信頼の要になることは理解しておくべきです。なお、Dev Machine Guardが実際に悪用された事例は、2026年10月18日時点で確認した一次情報からは見つけられませんでした。

導入を検討するときに確かめること

実際に検討するときは、動かす前に、資料と社内の取り決めで確かめられる点から整理します。下の手順は、OSSを動かす前の段階で終えられるものに絞っています。

この手順の要は、動かす前に「何を社外へ出すか」と「誰が見るか」を決めておくことです。棚卸しの道具は、入れた瞬間から「把握できている」という安心を生みます。その安心の中身を先に決めておかないと、一覧は作られても誰も見ず、社外に情報だけが積み上がる状態になりかねません。

企業が取るべき対策

一つ目は、開発者が使ってよいAIエージェント、MCPサーバー、拡張機能の範囲を決めることです。棚卸しは、許す範囲が決まって初めて「許していないもの」を見つける道具になります。全面禁止ではなく、業務で使う道具を申告し、許す一覧に載せる仕組みを先に作るのが現実的です。

二つ目は、MCPサーバーの設定の書き方の決まりです。鍵やトークンは引数に直接書かず、決まった欄や専用の保管の仕組みに置く決まりにしておけば、棚卸しの道具に限らず、設定ファイルからの漏えいの危険を下げられます。三つ目は、部品の取得経路の点検です。どこから部品を取ってくるか、公開直後の版を取り込まない待ち期間を設けているかを、棚卸しの結果と照らして確かめます。

四つ目は、端末の一覧を扱う規程の整備です。一覧を誰が作り、どこに置き、どれだけ保存し、社外へ預けるならどの条件でかを、社内規程に書きます。五つ目は、調達のときの確認です。企業向けの形を選ぶなら、提供元のデータの扱い、保管の場所と期間、脆弱性の報告の窓口、契約終了時の削除を文書で確かめます。既存の端末監視・管理の仕組みとの役割の分担も、このときに決めておきます。

AIに任せる範囲と、人が決める範囲

Dev Machine Guardは、AIエージェントを含む開発の道具を洗い出す道具です。一覧が長くなるほど、その一つひとつを人が見るのは難しくなり、AIに要約や振り分けを任せたくなります。だからこそ、先に決めるのは、AIに判断させない部分です。

具体的には、どの道具を許すか、どの項目を社外へ送ってよいか、見つかった道具を止めるかどうか、開発者にどう伝えるか。この四つはAIにも道具にも委ねず、人が決めて記録に残します。AIに一覧の振り分けを任せる場合は、「危ない」と判断した根拠を必ず書かせ、最終の判断は人が確認する形にします。やってはいけない向き合い方を挙げます。

• 許す道具の範囲を決めないまま棚卸しを始め、見つかった一覧をどう扱うか決まらない
• 無料で使う形と企業向けの形の違いを確かめず、社外へ送られる項目を把握しないまま配る
• 作った報告書のファイルを共有の場所に置いたまま、保管期間も閲覧できる人も決めない
• 端末の設定を書き換える機能を、開発者への説明なしに有効にする
• AIに一覧の危険度を判定させ、根拠を確かめずにそのまま開発者へ使用中止を求める
• 結果の件数をそのまま信じ、抜き取りでの確認をしない

裏を返せば、人が決める範囲ははっきりしています。何を許すか、何を社外へ出すか、誰が見るか、見つかったらどうするか。この四つが決まっていないまま棚卸しの道具を入れても、一覧が増えるだけで、守りの厚みは増えません。

よくある質問：棚卸しの結果を社外に出さずに使えるのか

公式文書に書かれている範囲では、使えます。無料で使う形は、端末の外へ何も送らず、結果を画面と手元のファイルに出すだけだと明記されています。社外へ送る機能は、企業向けの接続先と鍵を設定し、送信の命令を使うか定期的な走査を組み込んだときに働く作りです。送信の有無は、設定と使う命令で決まると整理できます。

ただし、無料で使う形には定期的な走査や一元的な管理画面がありません。多数の端末の一覧を集めたい場合は、企業向けの形を選ぶか、手元で作った結果を社内で集める仕組みを自分たちで用意する必要があります。どちらを選ぶかは、扱う情報の区分と、割ける人員の両方から決める話です。また前の章のとおり、不審なファイルの検知が無料の形で働くかどうかは、確認できる情報からは判然としません。

もう一つ、「中身が公開されているのだから安心か」という問いもありそうです。READMEは、ソースコードがすべて公開されていて、何を集めて何を送るかを確かめられると述べています。公開されていることは確かめる手段があるという意味で、確かめたという意味ではありません。社内で検討する場合は、送信に関わる部分を読める担当者がいるかどうかも判断の材料になります。

• Dev Machine Guardの機能・送信先・版の情報は、GitHubのリポジトリとその中の文書、変更履歴、ソースコードの説明書き、提供元の導入文書を2026年10月18日に確かめた範囲に基づきます。内容は変わる可能性があります
• 企業向けの形で送られる項目の完全な一覧、保管の期間、料金は、確認した一次情報の範囲では十分に確かめられませんでした。導入の判断では提供元の最新の資料を確認してください
• この記事は守りと評価の目線で書いています。導入・設定・実行の手順は扱いません

まとめ

Dev Machine Guardは、開発者の端末にあるAIエージェント、MCPサーバーの設定、拡張機能、パッケージ管理の設定などを洗い出すOSSです。既存の端末監視・管理の仕組みが見ていない開発の道具の層を補う位置づけで、StepSecurity社の組織のアカウントからApache-2.0で公開され、GitHub上にセキュリティ勧告は登録されていません。MCPの設定からは鍵やトークンの入りやすい欄を取り除き、ファイルの中身は集めないなど、集める範囲を絞る作りが文書に明記されています。

集めた結果の行き先は、使い方で変わります。無料で使う形では端末の外へ何も送らず、企業向けの形では提供元のサーバーと提供元が管理する保管先へ送ります。どちらで使うにしても、許す道具の範囲、社外へ出す項目、一覧を見る人、見つかったときの対応は人が決める範囲です。この四つを先に決めたうえで使うことが、AIエージェントが開発者の端末に広がる時代のDev Machine Guardとの付き合い方です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。