GitHub добавил Copilot локальные песочницы: агент не тронет файлы и сеть без разрешения

GitHub выкатил в приложении Copilot функцию Local sandboxing — локальную песочницу, которая ограничивает агенту доступ к файловой системе, сети и учётным данным на компьютере разработчика. Функция в статусе публичной бета-версии и по умолчанию выключена: включить её можно в настройках приложения или прямо в сессии командой /sandbox on.

Что теперь можно ограничить

Настройка работает на уровне проекта — для локальных репозиториев и рабочих деревьев (worktree). Разработчик задаёт правила по трём блокам:

• Файловая система — отдельные списки папок с доступом на чтение-запись, только на чтение и полностью запрещённых.
• Сеть — что агенту разрешено из внешнего интернета и локальной сети.
• Учётные данные — доступ к Git и GitHub CLI credentials на машине.

Что за скобками

Ограничение действует только для локальных сессий: GitHub прямо оговаривает, что «local sandboxing does not apply to cloud sandbox sessions or sessions running on a remote host» — для облачных песочниц и сессий на удалённом хосте изоляция своя. Логика безопасности «fail closed»: если операционная система не может гарантированно обеспечить заданную политику, сессия завершится ошибкой, а не запустится без песочницы втихую.

Для рынка агентных кодовых ассистентов это симптом общей тенденции: чем больше прав получает ИИ-агент в терминале и файловой системе разработчика, тем острее вопрос, что он может сломать по ошибке или из-за чужой инъекции в промпт. GitHub — не первый, кто вводит явные политики доступа для агента, но именно у Copilot это теперь встроенная настройка приложения, а не отдельный флаг для энтузиастов.