セキュリティ設定のリファレンス

Fine-grained local security controls in Delegate and Cartographer — tool permissions, terminal and files, protected files, and UI automation — that extend beyond Approval mode.

これらの設定は [設定] → [セキュリティ] の下にあり、[ツールの権限]、[ターミナルとファイル]、[保護されたファイル]、[UI オートメーション] の 4 つの領域に整理されています。

ツールの権限

Delegate にユーザーの承認が必要なタイミングを設定します。ツールは最上位の 4 つのカテゴリに整理されており、各カテゴリには、そのツールがカバーしているツールまたは操作の数が表示されます。

カテゴリ (Category)	カバー
コネクタ	Slack、GitHub、Notion、Linear、Jira、Microsoft 365 など
Office	Word、Excel、PowerPoint、Outlook、Teams
システム ツール	ファイルシステム、Web 検索、コンピューターの使用、メモリ、シェル
MCP サーバー	接続済みのすべての MCP サーバー

カテゴリを展開すると、さらに細分化されます。たとえば、システム ツールは次の 4 つのグループに分かれます。

グループ	カバー	既定 (Default)
読み取り専用	ファイルの読み取り、Web の検索、UI 要素の検査など、何も変更されない操作	許可
書き込み > 変更	ファイルの作成または編集、ファイルのダウンロード、画像の生成	確認
UI オートメーション	アプリのクリック、入力、またはその他の操作	確認
シェル&スクリプト	PowerShell コマンドまたは Bash コマンドを実行する	確認

各グループは、 許可 (自動的に実行)、[ 確認 ] (最初にプロンプト)、または [ ブロック ] (自動的に拒否) に個別に設定でき、さらに拡張して個々の操作を個別に設定できます。

コネクタと Office は、それぞれ独自の規模で同じ読み取り専用と書き込みと変更の原則に従います。各アプリやサービス (Outlook、Slack、Excel など) は独自の操作に分解され、通常は同じように分割されます。たとえば、Slack チャンネルや Excel の範囲の読み取りは読み取り専用ですが、メッセージの投稿や範囲への書き込みは書き込みです。それぞれが [許可] に設定されます。 システム ツールと同じ方法で確認またはブロックします。

MCP サーバーの処理方法は他のカテゴリと同じですが、実行可能な操作は組織で構成されているサーバーによって完全に異なります。

ターミナルとファイル

Delegate は、現在ベータ版であるシェル コマンド サンドボックス (カーネル レベルのファイル システム、ネットワーク、プロセス、および資格情報の分離に Windows AppContainer を使用するスコープ対応サンドボックス マネージャー) を介してシェル コマンドとスクリプトを実行できます。サンドボックスの概念的動作については、「セキュリティの概要」の「 スクリプトとコード実行 」をご覧ください。

カーネルの分離

シェル コマンドのサンドボックスのオン/オフを切り替えます。オフにすると、コマンドは「セキュリティの概要」で説明されている限定された環境ではなく、完全なユーザー権限で実行されます。

パス

シェル コマンドは、ここにリストされているパスにのみアクセスできます。それ以外はすべてブロックされます。既定値以外の独自のパスを追加します。

機能

Additional capabilities you can grant to sandboxed shell commands, since they're outside what the sandbox allows by default. Internet access, Private network, and Removable storage are off by default; Shell profile is on by default:

• Internet access (off by default) — lets sandboxed commands make outbound network connections (HTTP, HTTPS, etc.).
• Private network (off by default) — lets sandboxed commands reach your local network or LAN.
• Removable storage (off by default) — lets sandboxed commands read or write USB drives and external disks.
• Shell profile (on by default) — loads your shell's profile (.zshrc, .bash_profile, or PowerShell profile) before running commands, so your usual aliases and environment variables are available.

これらを変更する場合、アプリを再起動する必要があります。

ブロックされるコマンド

特定の種類のコマンドの実行をブロックします — 提案をクリックして追加するか、カスタム パターンを入力します (例: shutdown、 format c:、 netstatなど)。これらのパターンは実行前にチェックされます。エージェントのコマンドは正規表現として照合され、実行前にブロックされます。これはカーネル分離とは別のメカニズムであり、サンドボックスがオンのかどうかに関係なく適用されます。

保護されているファイル

Delegate これらのファイルにアクセスする前に承認が必要です。これらのファイルは、保護する内容によってカテゴリにグループ化されています。

カテゴリ (Category)	保護	パターンの例
シークレット	環境ファイルと資格情報ストア	.env、.env.*、secrets/*、credentials/*、.npmrc、.pypirc
キー	SSH キーと証明書	.ssh/*、*.pem、*.key、*.p12、id_rsa、id_ed25519
クラウド	クラウド プロバイダーの資格情報	.aws/*、.azure/*、.gcloud/*、service-account*.json
Config	プロジェクト構成ファイル — 読み取りは制限されておらず、書き込みのみ承認が必要です。	tsconfig.json、.eslintrc*、Dockerfile、.github/workflows/*
データ	ローカル データベースと履歴ファイル	*.sqlite、*.db、wallet.dat、.bash_history

これら以外にも、独自のカスタム パスやパターンを追加できます。

ユース ケース: 資格情報、暗号化資料、クラウド アカウントへのアクセス、その他の機密データを含む可能性のあるファイルをキャッチします。考えられる場所をすべて自分で列挙する必要はありません。

UI オートメーション

Delegate が確認せずに操作できるアプリケーションや Web サイトと、Delegate が絶対に触れてはならないアプリケーションや Web サイトを制御します。

信頼できるアプリとサイト (自動承認)

• 信頼できるアプリ — Delegateが確認しなくても使用できるアプリです。カテゴリ別 (コード エディター、ターミナル、Office Apps、ファイル マネージャー、ノートとドキュメント) でクイック追加するか、種類を選択して、インストール済みまたは現在実行中の個々のAppsを選択します。
• 信頼できるサイト — Delegate が確認しなくても使用できるサイトです。ドメインを検索または入力します。ブラウザの履歴が選択に役立ちます。

保護されているアプリとサイト (ブロック)

• ブロックされたアプリ — Delegate が開かない、または操作できないアプリ。アプリを入力または選択して追加します。
• Blocked websites — sites Delegate won't access. Recommended for banking, payments, password managers, and anything sensitive. Quick-add an entire category with one click — Banking, Payments, Crypto, Password Manager, Government, Healthcare — which populates the list with a set of known sites for that category, or search/enter a domain to add one yourself.

ユースケース: 信頼できるワークフロー (Microsoft Excel、Microsoft Word、内部サイトなど) を事前に承認し、確認プロンプトを繰り返しトリガーしないようにします。また、特定のアプリケーションやサイト、または機密性の高いカテゴリ全体をブロックして、エージェントがそれらを読み取ったり操作したりできないようにします。

権限設定のベスト プラクティス

See Permission setting best practices for recommendations by role — individual users, IT administrators, and developers creating skills.