GitHub запер ИИ-агента в песочницу: какие права стоит отобрать у помощника для кода
ИИ-агенты для кода получают всё больше прав: читают проект целиком, запускают команды в терминале, ходят в сеть, пользуются учётными данными разработчика. Чем больше прав, тем острее вопрос — что агент сломает по ошибке или после чужой инъекции в промпт.
GitHub ответил на это встроенной настройкой: в приложении Copilot появились локальные песочницы. Разбираю, как это устроено и почему это стоит включить, даже если вы не пользуетесь Copilot.
Что вышло
Функция Local sandboxing — в публичной бете с 23 сентября 2026 года. По умолчанию выключена, включается в настройках приложения или командой `/sandbox on` прямо в сессии.
Правила задаются на уровне проекта, по трём блокам:
- Файловая система — какие папки агент может читать и менять, какие только читать, какие закрыты полностью.
- Сеть — куда агенту можно ходить во внешнем интернете и в локальной сети.
- Учётные данные — доступ к токенам Git и GitHub CLI на машине.
Важная деталь: отказ вместо молчания
Логика безопасности — fail closed. Если операционная система не может гарантировать заданную политику, сессия завершается ошибкой, а не запускается без песочницы втихую.
Это правильный выбор. Худший сценарий в безопасности — когда защита тихо отвалилась, а все уверены, что она работает.
Где заканчивается защита
Песочница действует только для локальных сессий. Облачные сессии и работа на удалённом хосте изолируются отдельно — GitHub это прямо оговаривает. Если в команде часть агентов работает в облаке, политику нужно проверять там отдельно.
Почему это важно не только для Copilot
GitHub не первый, кто вводит явные ограничения для агента. Но здесь это стало обычной настройкой приложения, а не флагом для энтузиастов. Это сигнал всему рынку: агент без ограничений доступа перестаёт быть нормой.
Для команды разработки это означает простые вещи.
Закройте всё, что не нужно для задачи. Агенту, который правит фронтенд, не нужен доступ к папке с ключами и конфигами продакшена.
Отключите сеть, где она не нужна. Большинство задач рефакторинга и тестов работают без выхода в интернет. Закрытая сеть — это закрытый канал утечки.
Не давайте агенту свои учётные данные по умолчанию. Пуш в репозиторий и действия от вашего имени — только явно и осознанно.
Проверьте облачные сессии отдельно. Локальная песочница их не покрывает.
И ещё одно. Если ваши заказчики начнут спрашивать, как вы контролируете ИИ в проектах — а крупные российские компании уже вписывают это в договоры, — настроенная песочница с понятными правилами станет готовым ответом.