ローカル AI Gateway、Resource Control 機能を追加──パス境界の検証で Workspace 外への不正アクセスを遮断
Execution Control では防げなかった引数パスの不正指定を、Extractor・Resolver・Workspace Policy の 3 層構造で検証可能にした。
リリース: 2026-08-21 · 読了 3 分記事の要約
1. 核心（What）
- LLM のツール呼び出し引数からアクセス対象パスを抽出し、Workspace 境界を検証する Resource Control がローカル AI Gateway に追加された。
- 実装されたのは、パス抽出を行う Extractor、絶対パスに正規化する Resolver、境界内かを判定する Workspace Policy の 3 コンポーネントである。
- 未知の operation や Workspace 外へのアクセス、設定不備はすべて deny とするフェイルセーフ設計が採用されている。
- Resource Control の評価結果は監査ログの resources 項目に記録され、operation が許可されてもリソースが拒否されたケースを追跡できる。
2. 影響（Why）
- Execution Control の穴を塞ぐ: operation 単位の allowlist だけでは引数のパス検証ができず、 Workspace 外ファイルへのアクセスを防げない課題を解決する。
- 国内の自動化開発における実用性: ローカル LLM にファイル変更権限を与える国内のツール開発チームは、意図しないファイル破壊や機密流出のリスクを Gateway 層で自動遮断できる。
3. 根拠・詳細（How）
- 3 層構造のパイプライン処理: Execution Control 済みの operation と arguments を受け取り、Extractor がパス候補を抽出、Resolver が Workspace root 基準の絶対パスへ正規化した上で Workspace Policy が境界を判定する。
- 保守的なパス抽出とプレフィックス回避: git diff などでオプションの区別がつかない場合は非オプション引数をすべてパス候補とし、単純な文字列前方一致ではなく pathRel 計算を用いて /workspace/project-malicious などの誤判定を防止する。
4. 展望・課題（Next）
- ファイルシステム以外の適用範囲拡大: 現在の MVP では Workspace（ファイルシステム）のみを対象としており、今後は他のリソース種別への拡張が期待される。