はじめに

Bromure Agentic Coding は、AI コーディングエージェント（Claude Code、Codex CLI、Grok CLI、および通常のシェルツール）を、Apple の Virtualization.framework を基盤としたハードウェア仮想化 Linux VM 内で、あなた自身の Mac 上で実行する macOS アプリケーションです。エージェントには完全で永続的な Ubuntu 開発環境が与えられますが、あなたの実際の認証情報がそこに入り込むことは決してありません。エージェントが外部世界に送信するすべてのものは、単一のホスト側ゲートウェイを通過し、そこで分離、認証情報保護、サプライチェーンスキャン、プロンプトインジェクション検出、監査トレースがすべて強制されます。これはエージェントが回避できない境界です。

本マニュアルは Bromure Agentic Coding 4.3.0 を扱います。実行ファイルは bromure-cli、バンドル ID は io.bromure.agentic-coding であり、アプリの動作には Apple Silicon 上の macOS 14（Sonoma）以降が必要です。製品の詳細、スクリーンショット、ダウンロードは bromure.io で公開されています。

Bromure Agentic Coding とは？

現代のコーディングエージェントは強力で、設計上は自律的です。ファイルを読み、シェルコマンドを実行し、パッケージをインストールし、あなたに代わって API を呼び出します。これを Mac 上で直接実行すると、エージェントはあなたのシェルが持つすべて、つまり SSH キー、~/.aws 認証情報、kubeconfig、API トークンを継承します。すると、たった 1 つの悪意ある依存関係やプロンプトインジェクションされた Web ページが、それらすべてに手を伸ばす一歩手前に位置することになります。

Bromure Agentic Coding は、その取引の条件を変えます。あなたが作成する各ワークスペースは、独自の永続的な Linux VM（独自のカーネル、ディスク、MAC アドレス、ネットワーク名前空間）を所有します。エージェントは永続的な状態（クローンされたリポジトリ、パッケージキャッシュ、virtualenv、シェル履歴）を持つ VM 内で実行されるため、通常の開発マシンのように感じられます。しかし環境には、意図的に無効化された偽の認証情報だけが含まれます。実際の値はホスト上に暗号化されて存在し、宛先ごとに、あなたの同意のもとで、ワイヤ上で注入されます。

アプリを起動すると、ワークスペースブラウザ（以下に示すメインウィンドウ）に到達します。サイドバーは WORKSPACES の下にワークスペースを一覧表示し（上部に Grid 概要、その下に AUTOMATIONS セクションがあります）、各ワークスペースにはステータスピル（Off、Suspended、または Running）が表示されます。ワークスペースを選択すると、その詳細ペインが表示されます。CPU、メモリ、vCPU、ディスク、稼働時間のカード、CONFIGURATION の概要（ワークスペースが使用するエージェントと認証情報モード、ガードレールとプロンプトインジェクションスキャンが有効かどうか、どのフォルダが共有されているか）、そして VM を起動する 開始 ボタンが表示されます。

スクリーンショットでは、ワークスペース「Codex Sandbox」は電源オフの状態です。リソースカードは起動時に割り当てられるリソース（メモリ 8 GB、4 vCPU）を示し、CONFIGURATION セクションは、Claude Code が API トークンを用いた Cloud モードで構成され、ガードレールとプロンプトインジェクションスキャンがオフで、共有フォルダがないことを示しています。開始 を 1 回クリックすると VM が起動し、同じペインにライブの CPU、ディスク、稼働時間の数値が表示されます。

対象ユーザー

Bromure Agentic Coding は、重なり合う 3 つの読者層に向けて作られています。

• 個人開発者: 実際の認証情報（Anthropic、OpenAI、AWS、Kubernetes、GitHub）を使ってコーディングエージェントを実行したいが、それらの認証情報をエージェント自身に渡したくない人。デプロイ、プッシュ、プロビジョニングができるエージェントの利便性を得ながら、侵害されたセッションが漏らすのはおとりだけであるという保証が得られます。
• セキュリティ意識の高いチーム: すべてのエージェントの動作を観測可能にしたいチーム。どのモデルが呼ばれたか、どのツールが実行されたか、どのファイルが変更されたか、どのコマンドが実行されたか、どの認証情報がどこで使われたか。暗号化されたローカルトレースは、事後に「エージェントは実際に何をしたのか？」という問いに答えます。
• プラットフォームおよびセキュリティエンジニアリング: フリート全体のポリシーを必要とする組織。登録されたインストールはセッションメタデータを組織のワークスペースにストリーミングし、認証情報は開発者のシェルではなくアプリに発行でき、マシンのオフボーディングは単一のコントロールプレーン操作です。エンタープライズを参照してください。

仮想化の専門家である必要はありません。アプリは初回起動時にビルド済みの署名されたベースイメージをダウンロードし、バックグラウンドで VM を起動し、すべてをネイティブの macOS インターフェイスを通じて提示します。ターミナルを使えるなら、Bromure Agentic Coding を使えます。

2 つの姉妹アプリ

Bromure Agentic Coding は、その姉妹アプリである Bromure（Web ブラウザ版、Bromure Web と呼ばれることもあります）と同じオープンソースリポジトリから提供されます。どちらも Apple の Virtualization.framework 上に構築され、同じ VM とイメージの仕組みを共有していますが、VM のライフサイクルについては正反対の立場を取ります。

両者の哲学は補完的です。ブラウジングは本質的にステートレスなので、Bromure Web はウィンドウを閉じるたびにすべての VM を破棄し、何も残りません。コーディングは本質的にステートフルであり、明日もクローン、キャッシュ、履歴が必要なので、Bromure Agentic Coding はあえて VM を生かし続け、その代わりに VM が見たり持ち出したりできるものを制御します。本マニュアルは Bromure Agentic Coding を扱います。Bromure Web は、2 つのアプリが相互作用する箇所でのみ言及されます（例えば、組み込みエージェントブラウザは Bromure Web と同じカタログからイメージをダウンロードします）。

単一境界セキュリティモデル

本製品を特徴づける考え方は、すべての保護が 1 か所で強制されるということです。それは、VM からのすべての外向き HTTPS が流れるホスト側の MITM プロキシです。ゲストの HTTPS_PROXY はこれを指し、ゲストネットワークはプロキシが唯一の出口となるように整形されています。境界はホスト上に存在するため、VM 内のコード（完全に侵害されたエージェントを含む）は、それを無効化したり、迂回したり、欺いたりすることができません。

その境界では、すべてのリクエストに対して 3 つのことが起こります。

1. TLS 終端。 プロキシは、初回起動時に生成されるインストールごとの認証局である Bromure ルート CA を使って VM の TLS を終端します。その公開証明書は起動時にすべての VM の信頼ストアにマウントされ、その秘密鍵はホストから決して出ません。
2. 検査と書き換え。 プロキシはリクエストを検査し、ポリシー（同意、スキャン、検出、トレース）を適用し、認証情報が関与する場合は偽の値を実際の値に入れ替えます。入れ替えは、bearer および x-api-key ヘッダー、OAuth リフレッシュボディ（オプトイン）、完全な AWS SigV4 の再署名、Kubernetes 認証情報、Docker レジストリ認証、そして vsock 上の ssh-agent ブリッジ経由の SSH 署名をカバーします。
3. 再暗号化。 書き換えられたリクエストは、通常の TLS 接続を通じて実際の上流に再暗号化されます。

この認証情報側は、構造上厳格です。VM は、現実的なプレフィックスと長さを持つ偽物だけを常に保持します。例えば ANTHROPIC_API_KEY=sk-ant-api03-brm-…、偽の AWS シークレットキー、合成された kubeconfig トークンなどです。入れ替えはホストサフィックス単位でスコープされます。api.anthropic.com 用に登録された認証情報が、そっくりのドメインに向けて注入されることは決してありません。そしてシステムはフェイルクローズ方式です。もしプロキシが何らかの形で迂回されても、ワイヤ上にある唯一の認証情報は、どの上流も受け付けない偽物です（例えば AWS は InvalidSignatureException を返します）。実際の値はホストプロセス内にのみ存在し、AES-256-GCM で暗号化され、マスターキーは macOS のデータ保護キーチェーンに格納されます。

侵害検出器がループを閉じます。ワークスペース用に登録されたすべての偽トークンにわたって構築された Aho-Corasick オートマトンが、各外向きリクエストボディを 1 回のパスでスキャンします。もし偽物がその入れ替えスコープ外のホストに向かっている場合（持ち出し試行のシグネチャ）、プロキシは入れ替えを拒否し、あなたに警告します。漏れたのは偽物だけなので、実際の認証情報をローテーションする必要は決してありません。

同じ境界に、他のすべてが組み込まれます。パッケージのダウンロードはそこを越える際にスキャンされ、信頼できないコンテンツはそこを通って戻ってくる際にプロンプトインジェクションがチェックされ、監査トレースはそこを越えたものを記録し、そして Fusion パネル、ローカル推論、リモートアクセスもすべてそこで動作します。1 つの境界に、すべての制御があります。

各機能の柱

以下の各機能には、マニュアル後半に専用の章があります。このセクションでは、それぞれの概要を示します。

分離

各ワークスペースは、独自のカーネル、仮想ディスク、MAC アドレス、ネットワーク名前空間、ワークスペースごとのプロキシリスナーを持つ、独自の永続 VM に対応します。悪意あるパッケージや不正なエージェントプロセスは VM を破壊できますが、破壊できるのは VM だけです。あなたの macOS ホスト、他のワークスペース、実際のファイルは、明示的に共有したフォルダを除いて、手つかずのままです。VM は APFS コピーオンライトクローンで派生した署名済み Ubuntu 24.04 ベースイメージから起動するため、ワークスペースの作成は瞬時に行われ、Suspended ワークスペースの再開はその RAM スナップショットをその場で復元します。事前ウォーム済みの VM プールは、一時的なブラウザサイドカー用に予約されています。概念についてはコアコンセプトで、日々の管理についてはワークスペースで扱います。

認証情報保護と同意

実際の認証情報は VM に決して入りません。上記のとおり、プロキシがワイヤ上で偽物を実際の値に入れ替えます。この入れ替えに加えて、Bromure Agentic Coding は使用ごとのガバナンスを追加します。認証情報は宛先ごとにあなたの明示的な同意を必要とするように設定でき、許可には TTL が付き（5 分間、1 時間、またはセッションの残り時間だけ許可）、読み取り専用のスコープ設定も利用できます。トークンを隠すことは、その使用を統制することと同じではありません。Bromure は両方を行います。認証情報を参照してください。

サプライチェーンスキャン

パッケージのインストールは、敵対的なコードが開発環境に侵入する最も一般的な経路であるため、プロキシは取得時にそれらをスキャンします。4 つのメカニズムが組み合わされます。エージゲート（新しく公開されたパッケージバージョンは保留される）、OSV 脆弱性ルックアップ、socket.dev の挙動分析、そして Delpi です。判定はワイヤ上で強制されます。ブロックされたパッケージが VM に到達することは決してありません。自分が何をしているか分かっている場合には、同意によるバイパスも可能です。サプライチェーンスキャンを参照してください。

プロンプトインジェクション検出

エージェントが外部世界から読み取るコンテンツ（Web ページ、API レスポンス、ファイル）は、あなたではなくエージェントに向けられた指示を含んでいる可能性があります。Bromure Agentic Coding は、境界を越える信頼できないコンテンツを、あなた自身のハードウェア上で動作する 2 つのローカル分類器モデル、PromptGuard と ModernBERT でスキャンします。検出はブロック/許可の判断として表面化し、フラグが立てられたテキストはエージェントではなくあなたに表示されます。プロンプトインジェクション検出を参照してください。

トレースと監査

すべてのセッションは、暗号化されたフルセッショントレースとして記録できます。LLM 呼び出し（モデル、トークン、レイテンシ）、ツール呼び出し、シェルコマンド、ファイルの読み書き、認証情報の使用、接続先ドメインです。ローカルのトレースインスペクタを使うと、エージェントが行ったことを再生し、事後に質問に答えることができます。エンタープライズ登録済みのインストールでは、セッションメタデータが相互 TLS 経由で組織のワークスペースに追加でストリーミングされます。生のプロンプトやモデルレスポンス、シークレット値が送られることは決してありません。個人（未登録）のインストールは何もストリーミングしません。ワークスペースごとの Private mode トグルはストリーミングを完全に抑制し、ストリーミングが有効な間はセッションウィンドウに可視のインジケーターが表示されます。トレースを参照してください。

Fusion

すべての LLM 呼び出しはプロキシを越えるため、プロキシは単にそれを通過させる以上のことができます。Fusion は 1 つのリクエストをパネルに変えます。複数のモデルが回答し、ジャッジモデルが候補を評価し、統合されたベストな回答がエージェントに返されます。これらはすべてワイヤ上で行われ、エージェントに対して透過的で、エージェントの設定は不要です。Fusionを参照してください。

ローカルおよびハイブリッド推論

同じインターセプトポイントにより、モデル呼び出しを（MLX 経由で）あなた自身の Apple Silicon 上で動作する推論にルーティングしたり、ハイブリッドで実行したりできます。通常はクラウドモデルを使い、クラウドに到達できない場合はローカルにフォールバックします。ローカルモデルは、本製品の他の箇所で使われるオンデバイス分類器も支えています。ローカルモデルを参照してください。

リモートアクセス

あなたのサンドボックスは、どこからでも到達可能です。アプリ自体を通じて、コマンドラインから、または SSH 経由で。Bromure Agentic Coding を実行する 2 台目の Mac は、リモートインスタンスを 1 対 1 でミラーできます（グリッド、ワークスペース、タブ、自動化）。これは SSH トンネル経由で行われます（Workspaces メニュー → Connect to Remote Bromure…）。重要なことに、リモートに移行してもセキュリティは弱まりません。認証情報使用の同意プロンプト、サプライチェーンのバイパス、ガードレールの書き込み、プロンプトインジェクションの判断は、接続のホスト側でレンダリングされます。そこでは侵害されたゲストがそれらを見ることも偽造することもできず、タイムアウトや却下はすべて拒否として扱われます。リモートアクセスを参照してください。

エンタープライズ管理

組織は、6 単語のコード（bromure-cli enroll）を使って、bromure.io のワークスペースに対してインストールを登録します。登録により、インストールに相互 TLS 証明書が発行され、コントロールプレーンからプッシュされる管理プロファイルが有効化され、トレースの項で説明したメタデータイベントストリームが起動します。オフボーディングは、インストールの証明書を失効させる単一のコントロールプレーン操作です。2 つの機能はエンタープライズ層であり、Bromure Enterprise Manager に表面化されます。フリート全体のサプライチェーンインベントリ（登録済みのいずれかのマシンが取得したすべての依存関係を、判定付きで検索可能）と、ファイル、リポジトリ、モデルごとのトークン使用量の集計です。エンタープライズを参照してください。

他のツールとの比較

README の比較マトリクス（2026 年 6 月に各プロジェクトの公開ドキュメントから編集）は、人々がよく手を伸ばすツール群に対して同じ脅威モデルを適用しています。それが明らかにするパターンは、ほとんどのツールが 5 つの制御（分離、シークレットをエージェントの外に保つこと、認証情報使用のスコープ設定、サプライチェーンスキャン、プロンプトインジェクション検出）のうち 1 つを選び、そこで止まっているということです。

• Dev Containers (VS Code) はツールチェーンを分離しますが、コンテナはホストカーネルを共有し、セットアップは SSH エージェントと git 認証情報をエージェントが実行される環境に積極的に転送します。使用ごとの認証情報スコープ設定、レジストリスキャン、インジェクション検出はありません。
• nono はカーネルサンドボックスです。承認フローを備えたシステムコール許可リストと外向きフィルタ、そして不変のローカル監査ログを持ちます。キーファイルへのアクセスをブロックし、一部の認証情報をプロキシしますが、エージェント自身のカーネルはなく、パッケージスキャンとインジェクション検出は対象外です。
• agent-vault (octokraft) はシークレットをプロセスにパイプするため、生の値への読み取り経路はなく、シークレットごとの TTL を持ちます。しかしエージェント自体はあなたのマシン上でその場で実行されます。分離境界はまったくありません。
• Agent Vault (Infisical) は HTTP 認証情報プロキシです。ワイヤ上で認証情報を付加するため、エージェントがそれらを読むことはなく、エンドポイントごとに外向きをフィルタします。しかしエージェントはボックス化されずに実行され、スキャンや検出はありません。
• Docker Sandboxes（実験的なプレビュー）は分離の面で最も近いです。独自のカーネルを持つ microVM と、生の値を VM の外に保つために認証情報ヘッダーを注入するホストプロキシです。ギャップはガバナンスにあります。仲介された認証情報はサンドボックスが行うあらゆる外向きリクエストに付加されるため、内部にインストールされた悪意あるパッケージが、それを一度も見ることなく許可リスト済みドメインに対して使うことができます。そして、その侵入時にそのパッケージをスキャンするものは何もありません。
• Capsem は、ドメインおよびメソッド/パスレベルの外向きルールと完全な HTTP ボディリクエストロギングを備えた、エアギャップされたハードウェア VM です。しかし実際の API キーが VM 内に存在します。これは、ワークロードが侵害されている可能性のあるエージェントである場合に、まさに真であってはならないことです。

マトリクス内のどのツールも、サプライチェーンスキャンやプロンプトインジェクション検出を提供していません。これら 2 つの列は、Bromure 以外のすべてにとって空です。Bromure Agentic Coding は、5 つの制御すべてを単一のプロキシ境界で強制し、さらにシークレットブローカーには決してできなかったことを追加します。ワイヤを所有しているからです。Fusion モデルパネル、ローカルおよびハイブリッド推論、そしてアプリ、CLI、または SSH からのリモートアタッチです。フリート全体のパッケージインベントリとトークン使用量分析はエンタープライズ層であり、Bromure Enterprise Manager に表面化されます。

比較データはすぐに古くなります。より詳細で最新のマトリクスは bromure.io/en/feature-matrix で維持されており、README は他のツールに関する行が古くなっている場合に issue による訂正を歓迎しています。

要件の概要

ステップごとのダウンロードと初回起動の手順はインストールにあります。

ライセンスと著作

Bromure リポジトリは MIT ライセンス（Copyright 2026 Renaud Deraison）のもとでオープンソースであり、自由に使用できます。著作は Renaud Deraison（プロンプティング）と Claude + Opus 4.7（実装）に帰属します。

本マニュアルを読む上で心に留めておく価値のある区別が 1 つあります。2 つのアプリ自体はオープンソースですが、エンタープライズ機能（登録、管理プロファイル、クラウドイベントストリーム、Bromure Enterprise Manager）は、bromure.io のホスト型コントロールプレーンに結びついており、それは商用サービスです。シングルユーザー体験の中で、それに依存するものは何もありません。未登録のインストールはどこにも何もストリーミングせず、すべてのセキュリティの柱はあなた自身の Mac 上で完全に動作します。

ヘルプを得る

• bromure.io — 製品ドキュメント、スクリーンショット、ダウンロード、技術ホワイトペーパー、詳細な機能マトリクス。
• GitHub issues — バグ報告、機能リクエスト、比較マトリクスへの訂正は、プロジェクトの GitHub リポジトリ（bromure.io からリンク）で扱われます。
• 本マニュアル — トラブルシューティングは診断手順と既知の問題をまとめています。用語集は、これらの章で使われるすべての専門用語を定義しています。

本マニュアルの構成

本マニュアルは、初めての方には最初から最後まで通読でき、その後はランダムアクセスのリファレンスとして機能します。

• はじめに — インストールはアプリのダウンロードとインストール、初回起動を扱います。クイックスタートは、まっさらなインストールから稼働中のエージェントまでを一度に案内します。
• 基礎 — コアコンセプトはアーキテクチャ（VM、プロキシ境界、イメージ、認証情報モデル）を説明します。ワークスペースとセッションは、あなたが日々操作する 2 つのオブジェクトを扱います。組み込みブラウザはエージェントが操作できる Chromium を扱います。自動化はスケジュールされた無人のエージェント実行をカンバンボード上で扱います。コーディングタスクはコーディングカンバン（ブリーフ、エージェントが計画したフェーズ、レビュー、マージ）を扱います。
• 設定リファレンス — 設定は ワークスペースを編集 エディタのすべてのペインを、ペインごとに 1 ページで、そしてアプリ全体の自動化ペインも合わせて記載します。
• 各柱の詳細 — 認証情報、サプライチェーンスキャン、プロンプトインジェクション検出、トレース、Fusion、ローカルモデルが、それぞれ 1 つの柱を完全な運用の詳細に展開します。
• 1 台の Mac を超えて — リモートアクセスは CLI、SSH、そしてリモートインスタンスのミラーリングを扱います。エンタープライズは登録、フリート管理、クラウドイベントストリームを扱います。
• リファレンス — 自動化と CLI、高度な設定、トラブルシューティング、用語集、そして付録。

インストールに進んでください。