GitHub открыл доступ к локальной изоляции для Copilot — теперь агент ограничен в правах на файлы, сеть и учётные данные.
GitHub Copilot научился жить в изоляции. Точнее, теперь разработчики сами решают, к чему ИИ-агенту есть доступ, а к чему нет. Локальная песочница добралась до статуса общедоступной функции. Раньше она считалась экспериментальной и требовала ручного включения флагов, а теперь работает в приложении Copilot, командной строке и сессиях VS Code с Agent Host.
Для тех, кто до сих пор гадает, GitHub Copilot что это такое: это ассистент, который давно перерос роль подсказчика в редакторе и превратился в полноценного агента. Он запускает команды, правит файлы, тянет зависимости. Чем больше он делает сам, тем страшнее за последствия. Песочница как раз для тех, кто хочет автоматизацию, но не хочет, чтобы ИИ случайно снёс домашний каталог.
Как устроена изоляция
Под капотом — Microsoft eXecution Container (MXC). Эта штука переводит общую политику песочницы в родные механизмы операционной системы. Работает одинаково на Windows, macOS и Linux. Запуск команд от Copilot ограничивается по файловой системе, сети и учётным данным. Модель при этом может быть любой — политики применяются к выполнению инструментов, а не к конкретному ИИ.
По умолчанию сессия получает чтение и запись только в рабочую область и текущий каталог. Нужен доступ к другим папкам — добавляй вручную. Хочешь запретить конкретную директорию внутри разрешённой — тоже можно, более точное правило побеждает. Настройки живут отдельно для каждого проекта и меняются через команду /sandbox в приложении или командной строке. Изменения сохраняются автоматически.
Почему песочница выключена по умолчанию
Причина скучная: обратная совместимость и корпоративные политики. Если предприятие выдаёт лицензию через GitHub Enterprise, настройки песочницы могут централизованно управляться через Microsoft Intune и другие MDM-платформы. Разработчик видит сводку, но реальные ограничения задаёт администратор.
Вторая причина — песочница режет не только злой умысел, но и обычные задачи. Например, подключение к локальному серверу разработки или установка зависимостей. Поэтому для большинства проектов предлагают стартовую политику, которая разрешает типовые операции, но оставляет возможность ужесточить правила, если рядом лежат конфиденциальные папки.
Что ещё в комплекте
Помимо локальной изоляции, GitHub предлагает облачные песочницы. Запускается полностью изолированная эфемерная Linux-среда прямо из Copilot командой copilot --cloud. Каждая сессия наследует политики облачного агента, так что корпоративные настройки безопасности работают сразу, без дополнительной возни.
Стоит ли этим пользоваться? Локальная песочница входит в стандартную подписку GitHub Copilot без доплат. Для одиночек, которые запускают агента на домашней машине с гигабайтами личных файлов, это как ремень безопасности. Для команд — способ не превратить автоматизацию в источник инцидентов. Настройка простая: включаешь в параметрах проекта или командой /sandbox enable, и агент больше не суётся куда не просили.
Главное — не забывать, что песочница не превращает ИИ в святого. Она ограничивает доступ, но не отменяет необходимость читать, что именно агент собирается выполнить. Впрочем, это уже тема для отдельного разговора.
GitHub продолжает наращивать агентные возможности Copilot, и появление полноценной изоляции — логичный шаг. Безопасность перестаёт быть опциональной надстройкой и становится фундаментом. Ждём, как отреагируют конкуренты.