AIエージェントを隔離して暴走や情報の持ち出しを防ぐOSS「nono」を解説

「AIエージェントに開発の作業を任せたいが、手元の鍵やファイルに何でも触れてしまうのが怖い」「エージェントを囲う道具が海外で増えているらしいが、どれを信じてよいか分からない」——AIエージェントの社内利用を任された情報システムやセキュリティの担当者から、2026年に入って聞こえることが増えた二つの声です。nono は、こうした不安に応えるとうたう、AIエージェント用の囲い（サンドボックス：外と切り離した実行の場）を作る公開ソフトウェアです。ただし、囲いの道具を入れれば安心、という話ではありません。本当は、囲いそのものにも弱点が見つかり、直され続けているという前提で、どこまで任せるかを人が決める話です。この記事では、nono が何をする仕組みかを公式の説明で確かめられる範囲で押さえ、2026年10月までに公開された12件のセキュリティ勧告とその修正の状況から、企業が導入を考えるときに確かめるべき点を整理します。導入や設定の方法は扱いません。

nonoとは何か。2026年10月時点で確かめられる事実

nono は、nolabs という組織がGitHubで公開しているソフトウェアです。リポジトリの説明には「エージェントの実行時のセキュリティ」とあり、AIエージェントを最小限の権限の囲いの中で動かすことを目的にしています。ライセンスはApache-2.0で、商用を含めて利用や改変ができる形です。2026年10月15日時点で、スター（関心を示す登録）は約4,500、派生（フォーク）は約300。リポジトリの作成は2026年1月31日で、平均すると1日あたり17件ほどスターが増えてきた計算になります。

READMEによると、対応する基本ソフトはマック、リナックス、ウィンドウズのリナックス互換環境です。動かせるエージェントとして、Claude のエージェントや Codex、Copilot、OpenCode、Hermes などの名前が挙がっています。常駐の管理プロセスも、コンテナ（切り離した実行の箱）も、仮想マシンも使わない点を、特長として前面に出しています。

開発の進み方も押さえておきます。リリースの一覧を見ると、2026年7月末から10月中旬までに版が0.71から0.80まで進み、ほぼ毎週のように新しい版が出ています。最新は2026年10月13日の0.80.0です。READMEの冒頭には、1.0の正式版に向けて呼び出し方の取り決め（API）を固めている途中で、変更がまだありうるという断り書きがあります。正式版の前で、変化の速い道具だという点は、後の評価にも効いてきます。

もう一点、READMEは、ソフトウェアの署名の仕組みとして広く使われるシグストアを作ったチームが手がけた、と自ら紹介しています。公式サイトにも同じ説明があります。ただし、これは公開元の自己紹介であり、この記事では独立に裏づけを取っていません。READMEには大手の技術企業の技術者による推薦の言葉も載っていますが、公開元が選んで載せた言葉として読むのが妥当です。

なぜ今、AIエージェントを囲う仕組みが求められるのか

AIエージェントは、指示を受けると自分でファイルを読み書きし、道具を呼び出し、外部と通信しながら作業を進めます。開発の現場では、プログラムを書く作業をエージェントに任せる場面が急に増えました。便利な一方で、エージェントは利用者と同じ権限で動くのが普通です。利用者のパソコンに置かれた鍵、社内の仕組みへの接続の情報、別の案件のファイルにも、そのままでは手が届きます。

危うさの中心は、エージェントが悪意を持つことではありません。読み込んだ文書や網上のページに紛れ込んだ指示に引きずられる（プロンプトインジェクション）、勘違いで消してはいけないものを消す、といった事故のほうが現実的です。エージェントの判断の誤りを、権限の小ささで受け止めるという考え方が、囲いの道具の出発点になります。誤りを完全になくすことはできないので、誤ったときに届く範囲をあらかじめ狭めておく、という発想です。

nono のREADMEが強調するのは、エージェント本体だけでなく、エージェントが呼び出す道具の側です。版管理の道具、外部の開発基盤を操作する道具、部品の管理の道具、MCPのつなぎ先など、秘密の情報や外への通信、取り消せない変更は、たいてい道具の側で起きる、という問題意識です。多くの囲いはエージェント全体に一つの方針をかけるだけで、鍵がエージェントとすべての道具から見えてしまう、とREADMEは指摘しています。この指摘は公開元の売り文句でもありますが、社内でエージェントを使うときの論点としてはそのまま参考になります。

仕組み1：基本ソフトの機能で、最初から最小権限の囲いを作る

nono の基本は、基本ソフト（OS）の中核が持つ制限の機能を使って、エージェントが触れられるファイル・通信先・鍵をあらかじめ絞ることです。公式サイトは、これを「取り消せない許可の一覧を、基本ソフトの段階で強制する」と説明しています。一度囲いの中に入ったプログラムは、自分で囲いを広げられない、という意味です。

リナックスでは、ファイルへの接続を絞る機能や、システムの呼び出し（プログラムが基本ソフトに頼む処理）を選り分ける機能が使われていることが、公開された勧告の内容から読み取れます。マックでは別の仕組みが使われていますが、基本ソフトごとの具体的な方式を公式サイトは詳しく書いていません。基本ソフトが違えば、囲いの作り方も強さも同じとは限らないので、評価は使う基本ソフトごとに行う必要があります。

コンテナや仮想マシンを使わないので、準備がいらず速い、というのが nono の売りです。裏を返すと、囲いの強さは、使っている基本ソフトの機能の正しさと、nono がそれをどう組み合わせるかに直接かかっています。後で見る勧告のいくつかは、まさにこの組み合わせの隙間に関するものでした。軽さと引き換えに、組み合わせの正しさを利用者が信じる構造になっている、と言い換えることもできます。

仕組み2：エージェントが呼ぶ道具を、道具ごとに別の囲いに入れる

READMEで最も詳しく説明されているのが、道具ごとの囲いです。エージェントには作業の時間全体を通した囲いがかかりますが、エージェントが特定の道具を呼び出すと、nono の仲介役がその道具を別の方針の囲いで起動します。道具の囲いは、エージェントの囲いに与えた広い許可を引き継がず、方針に書かれた範囲だけを受け取る、と説明されています。

READMEの例では、版管理の道具には対象の作業場所と信頼できる設定ファイルだけを見せる、外部の開発基盤を操作する道具には鍵を代理の仕組み越しにだけ渡す、その鍵で呼べる操作の種類と行き先を絞る、といった決め方が示されています。公式サイトはこれを「呼び出しのたびに、新しく小さな囲いを作る」と表現しています。道具ごとに必要な分だけを渡すので、ある道具の誤動作がほかの道具の権限まで巻き込みにくくなる、という考え方です。

大事なのは、READMEの次の趣旨の一文です。方針は設定のまとまり（プロファイル）に書かれ、指示文には書かれない。エージェントは道具を使いたいと頼むことはできても、道具の囲いを広げたり、新しい鍵を作ったりはできない、という設計です。安全の決めごとを、AIへの指示の言葉の外に置くという向きは、どの囲いの道具を選ぶにしても評価の物差しになります。指示文に書いた決めごとは、紛れ込んだ別の指示で上書きされるおそれがあるからです。

仕組み3：本物の鍵をエージェントに見せない代理の仕組み

公式サイトによると、本物の鍵（外部の仕組みに接続するための秘密の情報）は監督役のプログラムが持ち、通信が囲いの外へ出る境目で差し込まれます。囲いの中のプログラムが見るのは、本物の代わりの目印だけです。エージェントが鍵の中身を読み取って外に送ってしまう、という事故を、構造で起きにくくする考え方です。

通信の側では、行き先の名前ごとの許可に加え、HTTPの要求の種類（読むのか、書くのか）と、行き先の住所の細かい部分まで見て絞る機能があるとされます。たとえば「この鍵では、特定の場所の情報を読むことだけ許す」という決め方ができる、とREADMEは説明しています。鍵を渡すか渡さないかの二択ではなく、鍵でできることを細かく削れる点が、この道具の特徴の一つです。

ただし、この部分は勧告が集中した場所でもあります。後で触れるとおり、通信先の住所の判定を誤って許してしまう不具合（深刻度「高」）や、行き先の名前の表記ゆれをそろえる処理が不十分で、拒否の一覧をすり抜けられる不具合が報告され、修正されています。鍵を守る仕組みが細かいほど、その判定の正しさが守りの要になることを示す例です。細かい決め方ができることと、その決め方がいつも正しく守られることは、別々に確かめる必要があります。

仕組み4：人の承認、改ざんしにくい記録、巻き戻し

公式サイトは、監督役のプログラムが、実行するプログラムを確かめ、引数の方針を評価し、方針の外の操作は人に回して、承認・拒否・時間切れのどれかで決める、と説明しています。2026年10月13日の0.80.0では、実行ファイルの指紋（ハッシュ値）で起動するプログラムを固定する機能が加わったことが、リリースの記録から分かります。

記録の面では、操作の記録を前の記録とつなげた形で残し、後から書き換えられたら分かるようにする仕組みがあるとされます。ファイルについては、作業の前の状態を写し取っておき、まとめて元に戻せる機能も挙げられています。何をしたかを後から追え、間違えたら戻せることは、エージェントの事故を小さく抑えるうえで、囲いと同じくらい重要です。

これらの機能は公式サイトとリリースの記録で確かめた範囲の説明で、この記事では動かして試していません。記録や巻き戻しが自社の監査の要件を満たすかは、導入の前に自社で確かめる必要があります。また、記録が残ることと、誰かがその記録を見ていることは別です。承認の依頼が多すぎれば、人は中身を読まずに承認するようになりがちで、承認の仕組みがあっても形だけになります。どの操作を人に回すかの絞り込みも、承認の仕組みと同じくらい大切です。

設定の共有と配布の場（登録所）をどう見るか

nono には、エージェントごとの設定のまとまりを配る登録所（レジストリ）があります。READMEによると、よく使われるエージェント向けの設定が、触れてよいファイルの範囲・通信先の許可・決まった時点で自動で動く処理などをまとめた形で用意され、利用者は取り込んで使い、手を加えて社内や外部に公開することもできます。設定はJSONの形で、共有の前に中身を見直せるとされます。

便利な仕組みですが、守りの目で見ると、他人が作った設定を取り込むことは、他人の判断を取り込むことです。設定には、囲いの外で動く処理が含まれうるからです。実際、2026年6月に公開された勧告では、取り込んだ設定のまとまりの検証が、来歴の情報が欠けているときに素通りになりうる不具合が報告されました。外部の勧告のデータベースは、設定のまとまりが持ち込む処理は囲いの外の手元の機械で動くため、検証を通っていないまとまりが処理を動かしうる、と説明しています。修正は0.61.3以降です。

9月にも、署名を確かめるための情報の記載に不備があると、署名の検証が黙って飛ばされる、という勧告が出ています。登録所の仕組みは署名で来歴を確かめる前提で作られていますが、検証が失敗したときに止まらず通してしまう作りが二度見つかったことは、設定の配布を使う側が覚えておくべき事実です。署名の仕組みがあることと、署名の確認がいつも行われることは、同じではありません。

コンテナ・仮想マシンとの違い（比べる表）

囲いの手段はほかにもあります。よく比べられるのが、コンテナと仮想マシンです。下の表は、nono の公式の説明と、一般的な手段の性質を並べた目安です。nono の欄は公開元の説明に基づくもので、この記事で性能や強さを測ったものではありません。

観点	nono（公開元の説明）	コンテナ	仮想マシン
準備の手間	少ない（常駐の管理プロセス・箱・追加の容量が不要とされる）	箱の用意が必要	機械まるごとの用意が必要
囲いの仕組み	基本ソフトの制限の機能をそのまま使う	基本ソフトの中核を共有して分ける	基本ソフトごと分ける
道具ごとの方針	呼び出す道具ごとに別の囲い	通常は箱全体で一つ	通常は機械全体で一つ
鍵の扱い	代理の仕組みで本物を見せない	別の仕組みを組み合わせる	別の仕組みを組み合わせる
強さの拠り所	基本ソフトの機能と組み合わせの正しさ	中核の共有に伴う弱点に注意	分離は強いが重い

表のとおり、nono は「軽さ」と「道具ごとの細かさ」に重心を置いた道具です。一方で、切り離す強さそのものは、機械ごと分ける手段のほうが一般に高いとされます。どちらが良いかではなく、扱うデータの重さに応じて使い分ける、あるいは重ねて使うという発想が現実的です。

たとえば、本番の鍵に触れない試しの作業なら、軽い囲いで足りる場合もあるでしょう。顧客のデータや本番の環境につながる作業なら、軽い囲いの外側に、さらに切り離した環境を用意するほうが安心です。一つの囲いに全部を預けないという考え方は、どの道具を選んでも変わりません。囲いを重ねておけば、一つの囲いに弱点が見つかっても、もう一つの囲いで被害を止められる可能性が残ります。

安全性の評価：「注意付き」とした根拠

このラインでは、OSSをクローンもインストールも実行もせず、公開されている事実だけで安全面を判定しています。nono の判定は「注意付き」です。悪意のあるソフトの報告、説明と配布方法の食い違い、有名なソフトと紛らわしい名前といった、記事にしない理由に当たる事実は見つかりませんでした。導入時に自動で動く処理を示す設定ファイルも、リポジトリの最上位では見当たりませんでした。

注意を付けた主な理由は三つです。一つ目は、2026年5月から9月の間に12件のセキュリティ勧告が公開され、うち3件が深刻度「高」だったことです。確かめた範囲では多くに修正版が出ていますが、一部は修正された版を勧告の本文で確かめられていません。二つ目は、正式版の前で、ほぼ毎週版が変わるため、追いつく運用が欠かせないことです。三つ目は、リポジトリの作成日（2026年1月）より公開元の組織アカウントの作成日（2026年6月）のほうが新しいことです。別の場所から移された可能性がありますが、経緯は確認できていません。

一方で、評価を下げるだけの材料ではありません。深刻度「高」の勧告の一つには、オープンソースの監査を支援する団体が後援した外部の監査の中で、監査会社が見つけたと記されています。外から調べられ、勧告として公開し、修正版を出す流れが動いていることは、むしろ信頼の材料にもなります。なお、問題が見つからなかった点があっても、それは安全の保証ではありません。ここでの判定は、公開された情報を2026年10月15日に確かめた時点のものです。

公開された12件の勧告と、修正の状況

GitHubのセキュリティ勧告の一覧には、2026年10月15日時点で12件が並んでいます。深刻度の内訳は、高が3件、中程度が8件、低が1件です。CVE（脆弱性に付く共通の識別番号）が付いているのは1件で、残りは勧告の識別番号だけです。下の表は、公開の時期ごとにまとめたものです。攻撃の手順に当たる細部は省き、内容は種類の説明にとどめます。

公開時期	件数と深刻度	内容（種類の説明）	修正の状況
2026年5月	1件（中）	リナックスで、利用者の権限で処理を起こす仕組みへの接続を通じて囲いの外に出られる（CVE-2026-47128）	0.55.0で修正（脆弱性の公開データベースの記載）
2026年6月	1件（中）	設定のまとまりの検証が、来歴の情報が欠けると素通りになりうる	0.61.3以降で修正（外部の勧告データベースの記載）
2026年8月	4件（高1・中2・低1）	古い形式のシステム呼び出しで選り分けをすり抜けられる（高）、行き先の確認のすり抜け、名前の表記ゆれによる拒否の一覧のすり抜け、名前解決の仕組みを使った外への通信	高の1件は0.74.0で修正（勧告で確認）。残り3件は勧告の画面で修正版を確かめられず
2026年9月16日	5件（高2・中3）	道具の囲いの仲介が欠けたときの誤動作（高）、通信先の住所の判定の誤り（高）、エージェント自身が書ける版管理の設定を信じてしまう問題など	0.78.0のリリースの記録に5件とも記載
2026年9月30日	1件（中）	拒否したフォルダの中の特殊なファイル（ソケット）に拒否が及ばない	0.79.0のリリースの記録に記載

表から読み取れるのは、確かめられた範囲では、勧告が出たときには修正版も出ているという点です。8月の深刻度「高」の勧告では、0.73.0以前が影響を受け、0.74.0で修正されたと明記されています。逆に言えば、古い版を使い続けている環境では、これらの弱点が残ったままです。

確かめられていない点も書いておきます。8月の残り3件は、勧告の一覧の画面では修正された版を確かめられませんでした。同じ時期の0.74.0のリリースの記録には、名前の表記ゆれをそろえる処理や、通信先の確認に関する修正が並んでおり、対応している可能性は高いと考えられますが、断定はできません。5月と6月の勧告の修正版も、勧告の本文ではなく公開のデータベースの記載に基づくものです。使う前に、各勧告の本文で修正版を確かめてください。

勧告から読み取れる、囲いが弱くなりやすい場所

12件を並べると、個々の不具合を越えた傾向が見えてきます。一つ目は、失敗したときに「通す」側に倒れる作りです。来歴の情報が欠けたら検証を素通りする、署名を確かめる情報に不備があったら検証を飛ばす、という勧告がこれに当たります。守りの仕組みは、迷ったら止める（フェイルクローズ）のが原則です。9月の0.78.0の記録にも、名前解決の扱いを止める側に倒す修正が入っています。

二つ目は、エージェント自身が書き換えられるものを、囲いが信頼してしまう作りです。版管理の道具の設定の値を、エージェントが書ける場所から読んで信じてしまう、という勧告がこれに当たります。囲いの外側の判断が、囲いの内側から動かせる情報に頼っていれば、囲いは内側から緩められます。信頼してよいのは、エージェントが触れない場所にある情報だけという原則は、自社で仕組みを組むときにもそのまま使えます。

三つ目は、表記ゆれや古い形式、特殊なファイルなど、想定の外にある入り口です。行き先の名前の書き方の違い、古い形式の呼び出し、普通のファイルではないソケットといった、主な経路以外の道が繰り返し見つかっています。囲いの道具は、主な経路をふさぐだけでは足りず、端の経路まで漏れなく見る必要がある、ということです。これは nono に限らず、囲いの道具すべてに当てはまる難しさだと考えられます。

悪用されうるリスク

nono は守りのための道具で、それ自体を攻撃に使う道具ではありません。それでも、悪用の可能性は考えておく必要があります。一つ目は、囲いのすり抜けです。囲いの中のエージェントが、紛れ込んだ指示に引きずられて外に出ようとする場合、公開された弱点は外に出るための手がかりになりえます。修正前の版を使っていれば、その危険は現実のものになる可能性があります。ただし、こうした弱点が実際の攻撃に使われたという報告は、この記事の調査では見つかっていません。

二つ目は、登録所を通じた設定の悪用です。配られる設定のまとまりには囲いの外で動く処理が含まれうるため、悪意のある設定を紛れ込ませれば、利用者の機械で処理を動かせる可能性があります。6月の勧告は、まさにこの経路の検証の甘さに関するものでした。これは守りの道具が、配布の仕組みを持つことで新しい攻め口にもなりうるという一般的な構図で、現時点で被害の報告は確認できていません。

三つ目は、安心しすぎることです。囲いを入れたことで、エージェントに渡す鍵や権限の見直しが止まってしまえば、囲いに弱点が見つかったときに守りが残りません。囲いがあるから大きな権限を渡してよい、とは考えないことが大切です。また、導入の手軽さを示すために、配布元のスクリプトを取り寄せてそのまま実行させる導入方法が案内されています。こうした導入方法を社内で許すかどうかも、調達の決まりと照らし合わせておくべきでしょう。

導入を検討するときに確かめること

導入を検討する段階で、確かめておきたい点を順に並べます。動かして試す前に、書類と公開情報で確かめられる範囲です。

この五つは、動かす前に紙の上で決められることです。動かしてから決めようとすると、すでにエージェントが日常の作業に組み込まれていて、止めにくくなります。とくに最後の更新の担当は見落とされがちです。勧告が月に数件出る時期もあった道具なので、担当が決まっていなければ、修正版が出ていても古い版のまま使い続けることになりかねません。

企業が取るべき対策

nono を使うかどうかにかかわらず、AIエージェントを社内で使う企業が取っておきたい対策を四つ挙げます。一つ目は、囲いの道具を、ほかの外部ソフトと同じ脆弱性管理の対象に入れることです。守りの道具は「守る側」と思われて点検から漏れがちですが、12件の勧告が示すとおり、直され続けるソフトウェアの一つです。使っている版を台帳に載せ、勧告を追う仕組みに入れます。

二つ目は、鍵の置き場の見直しです。エージェントが動く機械に、本番の鍵や広い権限の鍵を置かないこと。代理の仕組みを使う場合も、鍵ごとに使える操作と行き先を絞ります。三つ目は、記録を見る体制です。囲いの道具が記録を残しても、誰も見なければ事故に気づけません。どの記録を、誰が、どの頻度で見るかを決めておきます。

四つ目は、調達と社内規程です。外部の設定のまとまりや、配布元のスクリプトをそのまま実行させる導入方法を、社内の決まりで許すかどうかを決めておきます。社内規程には、エージェントに渡してよい鍵の種類、承認を挟む操作、使ってよい囲いの道具と版の決め方を書き込むとよいでしょう。道具の選定と、渡す権限の決めごとを、別々に管理することで、道具を替えても決めごとが残ります。

AIに任せる範囲と、人が決める範囲

囲いの道具は、AIエージェントにどこまで任せるかを決めやすくするための道具であって、決めること自体を肩代わりするものではありません。最後に、避けたい向き合い方を挙げます。

• 囲いを入れたからと、エージェントに本番の鍵や広い権限をそのまま渡す
• 登録所の設定を、中身を読まずに取り込んで使う
• 勧告や新しい版を追わず、導入した時点の版を使い続ける
• 方針の外の操作の承認を、AIの判断や自動の承認に任せる
• エージェントに、なぜその操作が必要かの根拠を書かせないまま承認する

裏を返せば、人が決める範囲ははっきりしています。どの鍵を渡すか、どの操作に承認を挟むか、どの版を使うか、いつ止めるか。この四つはAIに判断させません。承認を求められたときは、エージェントに操作の目的と根拠を書かせ、人がそれを読んで決めます。人が確認する範囲を先に決めておけば、AIに任せてよいのは、その範囲の中で取り消せる作業を速く進める部分だけになります。

よくある質問：勧告の多さと、ほかの手段との関係

問い1：勧告が12件もあるなら、使わないほうがよいのですか。一概にはそう言えません。勧告が公開されているのは、弱点が見つかり、直された記録が残っているということでもあります。勧告がまったく出ていない道具が安全とは限らず、調べられていないだけの場合もあります。見るべきは、修正までの速さと、自社がその更新に追いつけるかです。

問い2：コンテナや仮想マシンの代わりになりますか。公開元は手軽さを強みにしていますが、切り離す強さは機械ごと分ける手段のほうが一般に高いとされます。扱うデータが重い作業では、代わりではなく、重ねて使うことを考えるのが安全です。問い3：日本語の情報はありますか。2026年10月時点で、日本語で nono を詳しく紹介した情報はほとんど見当たりません。公式の文書は英語が中心で更新も速いため、判断の前には一次情報を確かめる必要があります。

• この記事の事実は、GitHubのリポジトリ・セキュリティ勧告の一覧・リリースの記録・公式サイトを2026年10月15日に確かめた範囲に基づきます。版と勧告は短い間隔で増えるため、使う前に最新の状態を確かめてください
• 8月に公開された勧告のうち3件は、修正された版を勧告の画面で確かめられていません。5月と6月の勧告の修正版は、脆弱性の公開データベースの記載に基づきます
• この記事は nono を動かして試したものではありません。導入・設定の方法は扱いません

まとめ

nono は、AIエージェントと、エージェントが呼び出す道具を、基本ソフトの機能で一つずつ囲う公開ソフトウェアです。Apache-2.0で公開され、2026年10月時点でスターは約4,500、正式版の前で毎週のように版が進んでいます。本物の鍵をエージェントに見せない代理の仕組みや、方針を指示文の外に置く設計は、社内でエージェントを使うときの考え方としても参考になります。

一方で、2026年5月から9月の間に12件の勧告が公開され、うち3件が深刻度「高」でした。確かめた範囲では修正版が出ていますが、守りの道具も点検と更新の対象だという前提は外せません。古い版のまま使えば、公開された弱点を残すことになります。

情報システムやセキュリティの担当者が持ち帰るべきは、特定の道具の是非ではなく物差しです。どの鍵を渡し、どの操作に人の承認を挟み、どの版を使い、いつ止めるか。囲いの道具を選ぶ前に、この決めごとを人が先に持っておくことが、エージェントの事故を小さく抑える一番の備えになります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。