セキュリティ設定のリファレンス

Fine-grained local security controls in Delegate — tool permissions, terminal and files, protected files, and UI automation — that extend beyond Approval mode.

これらの設定は [設定 ] → [セキュリティ] の下にあり、ツールの権限、ターミナルとファイル、保護されたファイル、UI の自動化、制限付きアクセスの 5 つの領域に整理されています。

ツールの権限

Delegate にユーザーの承認が必要なタイミングを設定します。ツールは最上位の 4 つのカテゴリに整理されており、各カテゴリには、そのツールがカバーしているツールまたは操作の数が表示されます。

カテゴリ (Category)	カバー
コネクタ	Slack、GitHub、Notion、Linear、Jira、Microsoft 365 など
Office	Word、Excel、PowerPoint、Outlook、Teams
システム ツール	ファイルシステム、Web 検索、コンピューターの使用、メモリ、シェル
MCP サーバー	接続済みのすべての MCP サーバー

カテゴリを展開すると、さらに細分化されます。たとえば、システム ツールは次の 4 つのグループに分かれます。

グループ	カバー	既定 (Default)
読み取り専用	ファイルの読み取り、Web の検索、UI 要素の検査など、何も変更されない操作	許可
書き込み > 変更	ファイルの作成または編集、ファイルのダウンロード、画像の生成	確認
UI オートメーション	アプリのクリック、入力、またはその他の操作	確認
シェル&スクリプト	PowerShell コマンドまたは Bash コマンドを実行する	確認

各グループは、 許可 (自動的に実行)、[ 確認 ] (最初にプロンプト)、または [ ブロック ] (自動的に拒否) に個別に設定でき、さらに拡張して個々の操作を個別に設定できます。

コネクタと Office は、それぞれ独自の規模で同じ読み取り専用と書き込みと変更の原則に従います。各アプリやサービス (Outlook、Slack、Excel など) は独自の操作に分解され、通常は同じように分割されます。たとえば、Slack チャンネルや Excel の範囲の読み取りは読み取り専用ですが、メッセージの投稿や範囲への書き込みは書き込みです。それぞれが [許可] に設定されます。 システム ツールと同じ方法で確認またはブロックします。

MCP サーバーの処理方法は他のカテゴリと同じですが、実行可能な操作は組織で構成されているサーバーによって完全に異なります。

ターミナルとファイル

Delegate は、現在ベータ版であるシェル コマンド サンドボックス (カーネル レベルのファイル システム、ネットワーク、プロセス、および資格情報の分離に Windows AppContainer を使用するスコープ対応サンドボックス マネージャー) を介してシェル コマンドとスクリプトを実行できます。サンドボックスの概念的動作については、「セキュリティの概要」の「 スクリプトとコード実行 」をご覧ください。

実行時間の長いコマンドは、セッションの残りの部分をブロックしません: Delegate は、それを開始し、他の作業を続け、受信した出力を読み取り、必要に応じて停止できます。

カーネルの分離

シェル コマンドのサンドボックスのオン/オフを切り替えます。オフにすると、コマンドは「セキュリティの概要」で説明されている限定された環境ではなく、完全なユーザー権限で実行されます。

パス

シェル コマンドは、ここにリストされているパスにのみアクセスできます。それ以外はすべてブロックされます。既定値以外の独自のパスを追加します。

機能

サンドボックス化されたシェルコマンドに付与できる追加機能です。既定ではこれらはサンドボックスで許可されていません。インターネット アクセス、プライベート ネットワーク、およびリムーバブル ストレージは既定でオフ、シェル プロファイルは既定でオンになっています。

• インターネット アクセス (既定でオフ) — サンドボックス化されたコマンドがアウトバウンド ネットワーク接続 (HTTP、HTTPS など) を確立できるようにします。
• プライベート ネットワーク (既定でオフ) — サンドボックス化されたコマンドがローカル ネットワークまたは LAN にアクセスできるようにします。
• リムーバブル ストレージ (既定でオフ) — サンドボックス化されたコマンドで USB ドライブや外付けディスクの読み書きができるようにします。
• シェル プロファイル (既定でオン) — コマンドを実行する前にシェルのプロファイル (.zshrc、.bash_profile、または PowerShell プロファイル) を読み込み、通常のエイリアスと環境変数を利用できるようにします。

これらを変更する場合、アプリを再起動する必要があります。

ブロックされるコマンド

特定の種類のコマンドの実行をブロックします — 提案をクリックして追加するか、カスタム パターンを入力します (例: shutdown、 format c:、 netstatなど)。これらのパターンは実行前にチェックされます。エージェントのコマンドは正規表現として照合され、実行前にブロックされます。これはカーネル分離とは別のメカニズムであり、サンドボックスがオンのかどうかに関係なく適用されます。

保護されているファイル

Delegate これらのファイルにアクセスする前に承認が必要です。これらのファイルは、保護する内容によってカテゴリにグループ化されています。

カテゴリ (Category)	保護	パターンの例
シークレット	環境ファイルと資格情報ストア	.env、.env.*、secrets/*、credentials/*、.npmrc、.pypirc
キー	SSH キーと証明書	.ssh/*、*.pem、*.key、*.p12、id_rsa、id_ed25519
クラウド	クラウド プロバイダーの資格情報	.aws/*、.azure/*、.gcloud/*、service-account*.json
Config	プロジェクト構成ファイル — 読み取りは制限されておらず、書き込みのみ承認が必要です。	tsconfig.json、.eslintrc*、Dockerfile、.github/workflows/*
データ	ローカル データベースと履歴ファイル	*.sqlite、*.db、wallet.dat、.bash_history

これら以外にも、独自のカスタム パスやパターンを追加できます。

ユース ケース: 資格情報、暗号化資料、クラウド アカウントへのアクセス、その他の機密データを含む可能性のあるファイルをキャッチします。考えられる場所をすべて自分で列挙する必要はありません。

UI オートメーション

Delegate が確認せずに操作できるアプリケーションや Web サイトと、Delegate が絶対に触れてはならないアプリケーションや Web サイトを制御します。

信頼できるアプリとサイト (自動承認)

• 信頼できるアプリ — Delegateが確認しなくても使用できるアプリです。カテゴリ別 (コード エディター、ターミナル、Office Apps、ファイル マネージャー、ノートとドキュメント) でクイック追加するか、種類を選択して、インストール済みまたは現在実行中の個々のAppsを選択します。
• 信頼できるサイト — Delegate が確認しなくても使用できるサイトです。ドメインを検索または入力します。ブラウザの履歴が選択に役立ちます。

保護されているアプリとサイト (ブロック)

• ブロックされたアプリ — Delegate が開かない、または操作できないアプリ。アプリを入力または選択して追加します。
• ブロックされる Web サイト — Delegate がアクセスできないサイト。銀行取引、支払い、パスワード マネージャー、およびすべての機密性の高いサイトに推奨されます。ワンクリックで、銀行業務、支払い、暗号、パスワード マネージャー、政府機関、医療などのカテゴリ全体をクイック追加すると、そのカテゴリの既知のサイトのセットがリストに追加されます。また、ドメインを検索/入力して自分で追加することもできます。

ユースケース: 信頼できるワークフロー (Microsoft Excel、Microsoft Word、内部サイトなど) を事前に承認し、確認プロンプトを繰り返しトリガーしないようにします。また、特定のアプリケーションやサイト、または機密性の高いカテゴリ全体をブロックして、エージェントがそれらを読み取ったり操作したりできないようにします。

制限されているアクセス

範囲: 許可された一連のフォルダー、ブロックされたパス、および承認例外に Delegate。このグローバル設定と、各プロジェクト独自の [プロジェクト設定] の [ セキュリティ ] タブの間で同じパネルが共有されます。一方で行った変更は他方にも反映されます。

• フォルダー: Delegateが使用できるローカル フォルダーです。
• ブロックされたパス: 許可されたフォルダー内であっても、Delegateがアクセスしてはならないパスです。
• 承認: [制限付きアクセス] がオンのときに確認が必要なアクションです。

Use case: 機密情報を扱う場合に Delegate を特定のプロジェクトのファイルに制限します。ツールのアクセス許可や保護されたファイルを毎回再設定する必要はありません。

権限設定のベスト プラクティス

ロール (個々のユーザー、IT 管理者、およびスキルを作成する開発者) ごとの推奨事項については、「権限設定のベスト プラクティス」をご覧ください。