次の犠牲者になるな —
GitHub
いずれも開発者の環境を通じて侵害されました — 漏れた秘密、汚染されたサプライチェーン、暴走した AI エージェント。Bromure Agentic Coding はこの三つすべてを止めます。
Bromure Agentic Coding を今すぐダウンロードApple Silicon（M1 以降）· 無料 & オープンソース
彼らは Bromure Agentic Coding を使っていなかった
封じ込めるのは被害範囲であって、 開発者ではない。
本能的に、人は開発者を締め付けようとします — EDR、root なし、あらゆるクレデンシャルを承認待ちの列の向こうに。それはうまくいきません。マシンが自分のものでなければ、開発者はあなたを迂回し、求めていた管理も、すでに持っていた可視性も失います。
マシンをまるごと渡す
root、どんなパッケージでも、どんな実験でも、チケットなしの深夜 2 時でも。それを取り上げれば、優れたエンジニアは反発するか、黙ってあなたを迂回します。自分のものだと感じられなければ、彼らは使いません。
彼らは王国の鍵を握っている
本番データベース。AWS アカウント。コマンド一つで削除できるクラスタ。そのアクセスこそが仕事です — しかしたった一つの誤ったコマンド、一つの汚染された依存関係、一つの暴走したエージェントが、会社全体を被害範囲に収めます。
実験はさせ、被害は土俵から下ろす
開発者にできることを小さくしても、これは安全になりません。ミス — あるいは侵害 — が到達できる範囲を小さくすることで、安全になるのです。
だから Bromure は開発者の力をそのままに保ち、代わりに四つのものにリードをつけます。彼らの秘密、彼らの環境、サプライチェーンが持ち込みうるもの、そして汚染されたファイルがエージェントを唆して実行させようとするものです。
開発者にはフルパワーを、 被害にはリードを。
あなたの秘密
本物のトークンや SSH 鍵がサンドボックスに入ることは決してありません。エージェントが受け取るのはスタブで、Mac 上のプロキシが本物の bearer をワイヤー上で差し替え、機微なものはすべてクリックを要します。
あなたの環境
ガードレールは接続だけでなく操作そのものを検査します。本番への DELETE、force-push、DROP はワイヤーで止まり、どんなトークンを握っていようと、まずあなたに尋ねます。
あなたのサプライチェーン
エージェントが引き込むすべてのパッケージは OSV と socket.dev に照合され、インストールスクリプトは取り除かれ、出たばかりのリリースは保留されます — そのどれもが VM に届く前に。
エージェントへの指示
攻撃者にトークンが必要とは限りません — ときには汚染されたファイルが、エージェントに何をすべきか指示するだけで済みます。Bromure はエージェントが読むものをプロンプトインジェクションについてスキャンし、エージェントが信頼する CLAUDE.md を隠された命令についてスキャンします — そしてモデルが動く前にリクエストをブロックできます。
エージェントは動く、 秘密は家に置いておく。
リポジトリ、レジストリ、サーバーに届かないエージェントは役に立ちません。素朴な解決策 — トークンと鍵を VM に放り込むこと — は、次にそれを読むタイポスクワット依存関係にそれらを手渡すことになります。
Bromure はこれを逆転させます。VM は、Authorization ヘッダーを期待する何にとっても本物に見えるスタブを携えて出荷されます。Mac 上のプロキシが VM から出るすべての接続を捕らえ、ワイヤ上でスタブを本物の秘密に差し替えます。本物の値が、VM の読めるファイル・環境変数・メモリに触れることは決してありません。
ここでエージェントが動く
本物の秘密はここから出ない
有効なトークンに見える
本物の PAT が、VM の届くファイル・環境変数・メモリのページに触れることは決してありません。汚染された依存関係は、スタブを持って去るだけです。
スタブを入れて、本物のトークンを出す
クレデンシャルはホスト上で一度だけ設定します。VM はすべてのツールが受け入れるスタブを受け取り、プロキシはリクエストが出る瞬間に本物のベアラーへ差し替えます。ファイルシステムを漁るパッケージは、プレースホルダーしか持ち帰れません。
ssh-agent は転送するが、決して晒さない
SSH 鍵は macOS Keychain に残り、Bromure は ssh-agent のソケットだけを VM に転送します。ssh も git も透過的に動きますが、鍵ファイルもメモリ上のパスフレーズもなく、盗めるものは何もありません。
エージェントとあなたの秘密の間に、 ワンクリックを。
クレデンシャルを機密と指定すると、Bromure は人間によるワンステップを差し込みます。何かがプロキシ経由でそれに手を伸ばすと、Mac 上にポップアップが出て、クレデンシャルと宛先を提示し、あなたに尋ねます。承認は 5 分間、1 時間、このセッション中、あるいは 1 回限りで。
時間で区切る承認
承認するときに TTL を選びます。1 回の push なら 5 分、リリースなら 1 時間、本当に怖いものには 1 回限り。許可は自動的に失効するので、トークンを一日中開けっぱなしにしてしまうこともありません。
ローカルマルウェアは、てこを失う
あなたのレジストリへ push しようとしても、あなたになりすまそうとしても、クラウドアカウントを枯渇させようとしても、ローカルマルウェアにはできません。クレデンシャルはディスク上になく、プロキシは承認をクリックしたときにだけ 1 件解放します。コード実行だけでは、もはや本番に手を出すには不十分です。
長期トークンは、瞬間的なアクセスに変わります。たとえラップトップが完全に侵害されていても、攻撃者は何か重要なことをするためには、まずあなたを通り抜けなければなりません。
どんな鍵も、 出ていく途中で読み取り専用に。
恐ろしい話の主役は、盗まれたトークンではありません — 正規のクレデンシャルを渡されたエージェントが、本番で間違ったものを削除してしまう、そういう話です。鍵が漏れたわけではなく、持つべきでなかった書き込み権限をたまたま持っていただけ。そして教科書どおりの対策 — ツールごと、セッションごとの読み取り専用トークン — は、あまりに面倒で誰もやりません。
ガードレールは接続だけでなく操作そのものを読み取ります — 読み取りと書き込みを見分けます。クレデンシャルを読み取り専用にマークすれば、Bromure は状態を変える操作を拒みます。「確認する」に設定すれば、エージェントが何かを変えようとした瞬間に、Bromure がワイヤ上でそれを止め、動詞・対象・プロファイルを示して尋ねます。ちょうどこのように。
何も再発行せずに読み取り専用へ
ツールごと、リポジトリごと、セッションごとにスコープを絞ったトークンを発行するのは、もうやめましょう。手元のクレデンシャルをそのまま使い、その前に読み取り専用の境界を置くだけ — あなたが指定したあいだだけ読み取り専用として振る舞います。出荷したい？ 15 分だけ元に戻せばいい。
変更する前に、確認する
機密なクレデンシャルを確認モードに設定すれば、状態を変えるすべての呼び出しが、あなたが承認するまで一時停止します。同じ時間で区切った許可：15 分、1 回限り、このセッション、あるいは決して。エージェントは一日中読めますが、「はい」がない限り本番を変えることはできません。
エージェントは、間違いが安く済むところでは自律性を保ち、そうでないところではきっちりそれを失います。「エージェントが本番データベースを削除した」は、もはや事後検証ではなく、あなたが「許可しない」をクリックしたダイアログボックスになります。
エージェントが引き込むすべてのパッケージを、 届く前にスキャンする。
このページの上部を流れるロゴは、サプライチェーン侵害の壁です。あなたの一言で依存関係をインストールするエージェントは、完璧な配送手段です。`npm install` を実行すると、推移的依存関係が postinstall を発火させ、あなたがそれに気づくのは来四半期です。
Supply Chain は、その同じプロキシをスキャンのチェックポイントに変えます。エージェントが取得するすべてのパッケージは OSV と socket.dev に照合され、インストールスクリプトは取り除かれ、出たばかりのリリースは保留されます。VM の境界で動くため、エージェントが内部で何をしても有効であり続けます。
エージェントによってではなく、その下で強制する
すべてのパッケージ取得は Bromure のプロキシ経由で VM を出ます。エージェントが設定を書き換えてあなたを回避しようとしても、スキャンは越えられない境界で行われるため、エージェントが回避を試みても防御は保たれます。
2 つのスキャナ、2 種類の脅威
OSV は、あなたが設定した深刻度のしきい値を超える既知の CVE を捕らえます。socket.dev は、データベースがまだ捕らえていないものを捕らえます — 不正なインストールスクリプト、マルウェア、タイポスクワット。フラグの立ったリリースは、VM に届く前にブロックされます。
インストールスクリプトを、その場で取り除く
`postinstall` のようなインストールフックこそ、ペイロードが実際に実行される場所です。Bromure は tarball からそれらを取り除き、メタデータのハッシュを修正してインストールが検証を通り続けるようにします。本当に必要とする数少ないネイティブビルドは短い許可リストに載せ、それ以外はすべて無害な状態でインストールされます。
パッケージは、噛みつけるようになる前に熟成しなければならない
侵害されたバージョンは、普通は数時間以内に取り下げられます — まさにエージェントがそれを引き込みかねない数時間です。Bromure は直近 2 日間（調整可能）に公開されたものすべてを隔離するため、出たばかりの悪意あるリリースは、エコシステムが追いつくまでインストールできません。
エージェントは必要なものを何でも `npm install` できます — それでも、既知の重大な CVE も、侵害されたリリースも、許可されていないインストールスクリプトも、1 時間前にアップロードされたバージョンも引き込むことはできません。この防御がエージェントの協力に依存することは決してありません。
エージェントが読むものに 潜む指示を捕える。
すべての攻撃に盗まれた認証情報が要るわけではありません。ソースファイル中のコメント、取得した Web ページの 1 行、ツール出力中の文字列、あるいは CLAUDE.md に埋め込まれた指令が、あなたが一度も頼んでいないことをエージェントにそっと実行させかねません — ファイルの漏洩、チェックの骨抜き、スクリプトの実行。モデルはそれを指示として読み、従ってしまいます。
Bromure は、モデルへ流れ込む信頼できないコンテンツ — ファイルの読み取り、Web の取得、ツールの結果 — をプロンプトインジェクションについて検査し、エージェントが権威として扱う指示ファイル（CLAUDE.md、AGENTS.md、GROK.md）を隠れた、あるいは敵対的な命令について検査します。検知はオンデバイスで実行され、あなたの Mac から何も出ていきません。ログに記録するか、レビュー用にフラグを立てるか、リクエストがモデルに届く前にブロックします。
信頼できないコンテンツ中のインジェクション
エージェントが読むすべてのファイル、取得するすべてのページ、取り込むすべてのツール結果が、オンデバイスの分類器でスキャンされます。README、コードコメント、API レスポンスに紛れ込んだ指示は、モデルがそれに基づいて動く前に捕えられます。
ルールファイル中の不正な指示
CLAUDE.md、AGENTS.md、GROK.md は、エージェントに対して実質的な権威を持ちます。Bromure はそれらを隠れた指令について読み取ります — 「以前の指示は無視せよ」「ユーザーには伝えるな」、ゼロ幅文字、双方向テキストのトリック — そしてキーワードフィルタが見逃すような、穏やかな言い回しの悪用も捕えます。
エージェントは、あなたが指し示すものを何でも読めます — 見知らぬ人のリポジトリ、スクレイプしたページ、チームメイトの CLAUDE.md — そこからそっと命令を受け取ることなく。汚染されたファイルは、侵害ではなく、フラグの立った検知になります。
エージェントが何をしたか、 正確に見る。
コーディングエージェントは 1 セッションで何百もの判断をしますが、そのほとんどは読まれずに流れていきます。何かが壊れるまでは、それで構いません。あるいは、モデルが実際に何を変えたかをチームメイトや監査担当者に説明する必要が出るまでは。
Bromure はセッション全体を、動いている最中に記録します：すべてのプロンプト、応答、ツール呼び出し、シェルコマンド、書き込まれたファイル。後で開き、検索し、プルリクエストに添付できます。エージェントは速く動き、記録は辛抱強く待ちます。
完全な対話キャプチャ
プロンプト、補完、ツールコール、シェルコマンド、ファイル編集、終了コード — ライブでキャプチャされます。スクロールバックから再構築するものはなく、ターミナルを閉じても失われるものはありません。
再生可能、レビュー可能、帰属可能
エージェントの推論と行動をスクラブし、何が、なぜインストールされたかを正確に確認し、「ただ動いた」「ただ壊れた」を、もう一人の人間に見せられる何かに変えます。
エージェントが動くとき、トレースはあなたのペーパートレイル。動かないとき、それはあなたのバグレポートです。
あなたのエージェントを、 持ち込んでください。
Bromure Agentic Coding はあなたのツールを置き換えません — 動かす安全な場所を提供します。VM はほとんどのエージェントが期待するランタイムを携えて出荷され、残りはあなたがインストールします。
Claude Code
Anthropic のターミナルエージェントが VM 内でネイティブに動きます。一度認証すれば、依存関係を取得し、テストを走らせ、共有リポジトリをリファクタリングさせられます。
Codex
OpenAI のコーディングエージェントは、他のどの Linux マシンでも同じようにインストールできます — ただしこの Linux マシンは、あなたのホームディレクトリを見られません。
Grok Build
xAI のコーディングエージェントは、他の Linux ツールと同じように VM 内でインストールして動かせます。共有リポジトリに向けるだけ — 本物のトークンや SSH 鍵はホスト側に残り、手の届かないところにあります。
その他なんでも
Aider、OpenHands、社内のカスタムエージェント — Linux で動くなら、Bromure で動きます。VM はただの Linux マシンであり、安全性はそれが置かれている場所から来ます。
多くのツールは1つの層しか守りません。 Bromure はそのすべてを守ります。
隔離、エージェントからシークレットを遠ざける、その使い方を絞り込む、サプライチェーンをスキャンする、プロンプトインジェクションを食い止める——たいていはどれか1つに絞られます。よく使われるツールに同じ脅威モデルを当てはめ、それぞれがどこで止まるのかを並べました。
| 保護 | Dev ContainerVS Code | nonokernel sandbox | agent-vaultoctokraft | Agent VaultInfisical | Docker SandboxesmicroVM | BromureAgentic Coding |
|---|---|---|---|---|---|---|
隔離の境界 被害範囲が止まる場所 | 同じコンテナ、カーネル共有 | カーネル許可リスト、独自カーネルなし | エージェントはその場で実行 | プロキシのみ、エージェントは隔離されない | microVM、独自カーネル | ハードウェア VM、独自カーネル |
シークレットをエージェントから遠ざける 本物の認証情報を読めてしまうか？ | SSH エージェントと git 認証情報を転送 | 鍵ファイルを遮断、一部は仲介 | パイプで注入、読み取り経路なし | プロキシが通信上で付与 | ホストプロキシがヘッダを注入 | 通信上でスタブと交換 |
認証情報の範囲と承認 利用ごとの制限・読み取り専用・期限・承認 | 利用ごとの絞り込みなし | 承認フロー + 送信フィルタ | シークレットごとの TTL、シェルを遮断 | エンドポイントごとの送信フィルタ | ドメイン許可リスト、VM 内のコードはなお使える | 宛先ごとの承認 + TTL |
サプライチェーンのスキャン 悪意ある／脆弱なパッケージを捕捉 | レジストリのスキャンなし | 署名のみ、パッケージスキャンなし | 対象外 | 対象外 | パッケージスキャンなし | Age-gate、OSV、socket.dev |
プロンプトインジェクション検出 信頼できない内容とルールファイルをスキャン | — | — | — | — | — | PromptGuard + ModernBERT |
監査証跡 エージェントが何をしたかを記録 | コンテナのログのみ | 改変不能なローカル監査 | — | リクエストのログ記録 | リクエストのログ記録 | セッション全体のトレース、暗号化 |
サプライチェーン目録(Enterprise) 取得した全パッケージの記録 | — | — | — | — | — | 全依存関係と判定、検索可能 |
トークン使用量(Enterprise) どのファイルが最もトークンを消費するか | — | — | — | — | — | ファイル・リポジトリ・モデル別 |
トークンを隠すことと、その利用を統制することは別物です。Docker Sandboxes は生の値を VM の外に保ちますが、そのプロキシはサンドボックスが送るあらゆる外向き通信にその認証情報を付与します。そのため、脇でこっそり入り込んだ改ざん済みパッケージは、その値を一度も見ることなく、許可リスト上のサービスに対してそれを使えてしまいます。実行前にパッケージをスキャンし、利用のたびに承認・読み取り専用・TTL でゲートし、エージェントが回避できない単一の境界で5つの制御をすべて強制するのは Bromure だけです。
各プロジェクトの公開ドキュメント（2026年6月時点）に基づきます。ここでの agent-vault は octokraft/agent-vault（パイプ方式のシークレット注入）を指し、Infisical の Agent Vault（HTTP 認証情報プロキシ）とは別物です。Docker Sandboxes は実験的プレビューで、仲介された認証情報は VM 内のあらゆるものから使える状態のままです。フリート全体のパッケージ目録とトークン使用量の集計は Bromure Enterprise Manager が提供します。これらのツールは変化が速いため、古い点があれば教えてください。
エージェントに、 本物の作業場を。
1 つの VM。完全な隔離。何でもインストール可能。Bromure Agentic Coding は無料でオープンソースです。
Bromure Agentic Coding を今すぐダウンロードApple Silicon（M1 以降）· 無料 & オープンソース