macOSのsandbox-execによる安全なアプリケーション実行の探求

✍️ OpenClawRadar📅 公開日: February 21, 2026🔗 Source
macOSのsandbox-execによる安全なアプリケーション実行の探求
Ad

sandbox-execは、macOSに組み込まれたコマンドラインユーティリティで、アプリケーションをサンドボックス環境内で実行するために設計されています。このツールは、システムリソースへのアクセスが制限された安全で制約のある空間を作成し、悪意のあるコードや意図しない動作からのリスクを最小限に抑えるのに役立ちます。

主要な詳細

sandbox-execを使用したアプリケーションサンドボックス化は、悪意のあるコードからの保護、侵害されたアプリケーションによる被害の制限、プライバシーとリソース制御の強化を目的としています。sandbox-execを使用するには、安全な環境のルールを定義する設定ファイルであるサンドボックスプロファイルが必要です。基本的なコマンド構文は次のとおりです:

sandbox-exec -f profile.sb command_to_run

ここで、profile.sbはルールを指定し、command_to_runはこれらの制約内で実行されるアプリケーションです。

サンドボックスプロファイルはSchemeに似た構文で記述され、バージョン宣言、デフォルトポリシー、および特定のルールが含まれます。これらのプロファイルを設定するには、基本的に2つのアプローチがあります:

  • デフォルトで拒否:最初にすべての操作を制限し、必要なもののみを許可します。例:
(version 1) (deny default) (allow file-read-data (regex "^/usr/lib")) (allow process-exec (literal "/usr/bin/python3"))
  • デフォルトで許可:特定の操作を除いてすべてを許可します。例:
(version 1) (allow default) (deny network*) (deny file-write* (regex "^/Users"))

実際の使用例として、ネットワークアクセスなしでサンドボックスターミナルセッションを設定できます:

# terminal-sandbox.sb (version 1) (allow default) (deny network*) (deny file-read-data (regex "/Users/[^/]+/(Documents|Pictures|Desktop)")

次のコマンドで実行します:

sandbox-exec -f terminal-sandbox.sb zsh

さらに、macOSには一般的な制限シナリオ用の事前構築済みプロファイルが/System/Library/Sandbox/Profilesに用意されており、no-networkプロファイルなどがあります。

Ad

対象者

このツールは、制御された環境でアプリケーションをテストしたり、厳格なセキュリティポリシーを適用したりする必要がある開発者やセキュリティ専門家に最適です。

📖 完全なソースを読む: HN LLM Tools

Ad

👀 See Also

Pali v0.1: 再現可能なベンチマークを備えたLLM向けオープンソースメモリ基盤
Tools

Pali v0.1: 再現可能なベンチマークを備えたLLM向けオープンソースメモリ基盤

Paliは、Goで構築されたシングルバイナリのオープンソースLLMメモリ基盤で、マルチテナントAPI、ハイブリッド検索、プラグアンドプレイ拡張機能を備えています。v0.1リリースには、異なる構成でのパフォーマンス指標を示す再現可能な結果を含むベンチマークスイートが含まれています。

OpenClawRadar
engram v3.4.0が新しいレート制限下でClaude Codeを稼働し続けるAnthropicプラグインを追加
Tools

engram v3.4.0が新しいレート制限下でClaude Codeを稼働し続けるAnthropicプラグインを追加

engram v3.4.0は、Claude Code用の専用Anthropicプラグインを導入し、コスト管理、コンテキストのクエリ、エラーの表示という3つのスキルを追加しました。インストールは「/plugin install engram」または「npm install -g engramx@latest」で行います。

OpenClawRadar
Godmodeプラグインは、Claude Codeおよび他のAIコーディングエージェントに自律的な反復ループを追加します。
Tools

Godmodeプラグインは、Claude Codeおよび他のAIコーディングエージェントに自律的な反復ループを追加します。

Godmodeは、Claude Codeに自律的な測定・修正・検証ループを追加するオープンソースプラグインで、並列エージェント、失敗記憶、最適化、セキュリティ監査、TDDを含む126のスキルを備えています。Cursor、Codex、Gemini CLI、OpenCodeで動作します。

OpenClawRadar
Claude Code対Codex:実世界でのビルドテスト – 36ファイル対28ファイル、無限ループ、0.46ドルのコスト差
Tools

Claude Code対Codex:実世界でのビルドテスト – 36ファイル対28ファイル、無限ループ、0.46ドルのコスト差

ある開発者が、クロード・コードとカーソルのコーデックスを、PRトリアージボットとWebSocketコードレビューUIという2つの実際のタスクで比較した。クロードは12分で36ファイルを構築し、TypeScriptエラーはゼロ。コーデックスは動作するUIを生成したが、無限のReactループに陥った。コスト差は約0.46ドル。

OpenClawRadar