jailed-agents は、Nix エコシステム上に構築された サンドボックス化 のツールであり、AI コーディング エージェントを、それが動作するシステムへのアクセスを制限した状態で実行する。2026 年 9 月の codecentric のブログ記事が、 コーディングエージェントを使っていて、そのエージェントが自分のマシン上で到達できる範囲を制限したい開発者向けにこれを 紹介している。その中核は、bubblewrap の Nix ラッパーである jail.nix である。
同記事の説明によれば、このツールが対処する問題は、コーディングエージェントをユーザーのアカウントの下で通常の アプリケーションとして実行すると、そのユーザーがシステム上で利用できるあらゆる認証情報にアクセスできてしまう点にある。 同記事は、エージェントをリソースと外部へのアクセスが制限された専用の環境に置きつつ、特定の MCP やその他のリソースへの アクセスをあるプロジェクトでは許可し、別のプロジェクトでは禁止できるだけの柔軟性を保つことを求めている。
機能
- ゼロトラストのサンドボックス: デフォルトではホストとほとんど何も共有せず、すべては明示的なホワイトリストを通じて 行われる。
- 宣言的なツール構成: あらゆるアクセスとあらゆる依存関係が、同じ Nix パッケージ定義を通じて提供される。
- 定義済みの構成: claude-code、codex、hermes-agents、opencode、pi などに対応しており、さらにツールが提供する 関数を使ってカスタムエージェントを構築することもできる。
- コンビネータ: jail.nix のコンビネータが、環境変数の受け渡しやホストのフォルダ共有を超える柔軟性をもたらす。 たとえば、ホストのタイムゾーンの共有、jail のホスト名の上書き、ホストのカメラの共有、エージェントの起動前にコードを 実行することなどである。
最も単純な呼び出し方では定義済みのパッケージだけが実行される。同記事は、多くのユーザーがむしろ jailed-agent パッケージを カスタマイズすると想定しており、そのパッケージは nix-profile、flake、devshell、または devenv にインストールできる。Nix 上に構築されているため、同記事によれば あらゆる Linux ディストリビューション、macOS、Windows で動作する。
採用状況とエコシステム
同記事は、このツールをコーディングエージェントをサンドボックス化するための他の選択肢の間の折衷案として位置づけている。 VM（たとえば firecracker を使うもの）は最良の分離を提供するが、オーバーヘッドがあり柔軟性に欠け、その周囲に良い ワークフローを構築する手間が大きくなりうる。Docker も選択肢になりうるが、このユースケース向けに設計されたものでは 決してなく、それでアクセスを制限するには追加のイメージを構築し、追加のアクセスを設定する必要がある。devenv に統合 すれば、このツールによって企業内のすべての開発者に同じ安全なエージェント環境を提供でき、jailed-agent パッケージは共通の リポジトリを通じて、あるいは各開発者が拡張する共有デフォルトを備えたモジュールを通じて共有できる。同記事は、このツールが 軽量で開発者間で再利用可能だと結論づけている。