要点

対象：開発でCopilotを使わせている会社の担当者

  1. アプリの既定値では、通信と資格情報は許可
  2. CLIの組み込みのファイル操作は対象外
  3. 管理者は、コマンドを外で動かす例外を禁止できる

Copilotが手元のパソコンでコマンドを実行するとき、どのフォルダに触れてよいか、外と通信してよいかを決めるのが、GitHub Copilotのローカルサンドボックスです。1

この記事の目次（6節）
  1. サンドボックスで制限できる項目と既定値
  2. サンドボックスが効かないもの
  3. 実際に試した人の報告
  4. 管理者が全員に強制する設定
  5. 外注先と社内の開発者に確かめること
  6. AIに触らせる範囲を30分で整理する

10月7日に一般提供が始まり、Copilotの契約に追加料金なしで含まれます。管理者が設定で必須にしていなければ、既定ではオフです。12

パソコン用のCopilotアプリでは、オンにしても既定値のままでは、外への通信と資格情報（パスワードの代わりに使う文字列）は許可されたままです。2 どこまで許すかは、開発でCopilotを使わせている会社が決めておく必要があります。

サンドボックスで制限できる項目と既定値

Copilotアプリでは、コードを置くフォルダごとに設定します。制限は、Windows・macOS・LinuxのOSの機能でかけます。12

制限できる項目画面の項目アプリの既定値
インターネットへの通信「Outbound internet」許可（オン）
ローカルネットワーク（同じパソコンの中の接続や、同じLANの機器）への通信「Local network」許可（オン）
Gitの資格情報（GitHubへのプッシュなどに使う）「Git credentials」許可（オン）
GitHub CLIの資格情報（コマンドでGitHubを操作するツールに使う）「GitHub CLI credentials」許可（オン）
ファイル読み書きを許可するフォルダ・読むだけのフォルダ・アクセスを拒否するフォルダの一覧作業中のフォルダは読み書きできる。ほかは一覧に追加する

拒否の一覧に入れたフォルダは、親のフォルダの読み書きを許可していても、アクセスできません。2 顧客名簿を置いたフォルダのように触らせたくない場所は、拒否の一覧に入れます。

オンにする手順

  1. Copilotアプリの設定を開き、設定するフォルダを選びます。
  2. 「Sandbox」の「Sandbox new sessions」をオンにします。
  3. オンにしたあとに始めたセッション（Copilotとの一続きのやりとり）から効きます。

ターミナルで使う版のCopilotは、アプリとは別に設定します。設定の画面は /sandbox で開きます。2

サンドボックスが効かないもの

仮想マシンやコンテナほど強くは切り離しません。OSの機能で、読めるファイルや通信先を制限する仕組みです。3

INSIDE AND OUTSIDE 01 効くもの Copilotが実行するコマンド 手元で動くMCP・言語サーバー OSの機能が、ファイル・通信・資格情報の 範囲を守る 02 効かないもの CLIの組み込みのファイル操作 リモートのMCPサーバー 外で動かすと承認したコマンド プロキシに従わないソフト GitHubのサーバーなどのセッション 設定を守ろうとするが確実ではない 常にサンドボックスの外で動く その人のふだんの権限で動く Windowsで、通信先の制限をすり抜けられる ローカルサンドボックスの対象外
ローカルサンドボックスが効くものと、効かないもの。制限がかかるのは、Copilotが実行するコマンドと、手元で動くMCPサーバーなどです
対象外のものどうなるか
Copilot CLIの組み込みのファイル操作OSの制限がかからない。Copilot CLIが自分で設定を確かめるだけで、確実ではない
リモートのMCPサーバー（AIにほかのサービスをつなぐ仕組みのうち、インターネット上で動くもの）サンドボックスの外で動く。通信の一部にだけ制限がかかる設定がある
サンドボックスの外で動かすことを、開発者が承認したコマンドその人のふだんの権限で動く。Copilot CLIでは、承認を許す設定が既定でオン
Windowsで、プロキシの設定に従わないソフト直接つなぐと、通信先の制限をすり抜けられる
GitHubのサーバーやほかのパソコンで動かすセッションローカルサンドボックスの対象外

手元のパソコンから切り離して動かしたいなら、GitHubが用意する使い捨ての環境で動かす方法もあります。こちらは使った分だけ料金がかかります。3

実際に試した人の報告

6月、一般提供の前のパブリックプレビューのときに、クラスメソッドの記事の書き手がmacOSで試しました。5

外への通信を止めても、Webページを取得する組み込みのツールでは、example.comを取得できました。同じページを curl で取得させると、ブロックされました。5

11月2日のZennの記事では、書き手がWindowsのCopilotアプリで.NETのアプリを作りました。既定の設定のままでは .NET SDK などのフォルダへのアクセスが拒否され、許可するフォルダをいくつも追加して進めています。6

同じ記事では、制限の中で立ち上げたサーバーにアクセスすると、タイムアウトしました。原因がこの機能の制約なのかは、書き手にも分からなかったそうです。6

Zennの例のように、作るものによっては、許可するフォルダを足す手間がかかると考えます。手間を嫌って承認を重ねると、制限の外で動くコマンドが増えるおそれもあります。

管理者が全員に強制する設定

管理者は、managed-settings.json などのエンタープライズ管理設定で、全員に強制できます。使う人は、管理者の設定より広く許すことはできません。24

項目（sandbox の中）設定値効果
enabledtrue既定でオンにする。使う人は設定やオプションではオフにできない
failIfUnavailabletrueenabled と一緒に書くと、サンドボックスを使えないパソコンではAIの応答もツールの実行も止める
allowBypassfalseコマンドをサンドボックスの外で動かす承認と、セッションの途中でオフにすることを許さない
auth.git と auth.ghfalseGitとGitHub CLI用のトークンを、コマンドの実行に渡さない

sandbox の設定を入れると、使う人が必要なバージョン以上に上げるまで、Copilotにつながらなくなります。4 設定を入れる前に、全員のバージョンを上げておきましょう。

ツール必要なバージョン
GitHub Copilotアプリ1.1.26以上
Copilot CLI1.0.93以上
VS Code1.141.0以上

この機能を使うには、OSにも条件があります。2

OS条件
WindowsWindows 11 25H2（KB5124010以降）か26H1（KB5124006以降）
LinuxBubblewrap 0.5.0以上と slirp4netns

外注先と社内の開発者に確かめること

開発を外注しているか、社内の開発者がCopilotを使っているなら、次の点を確かめます。

  • Copilotにコマンドを任せているか。任せているなら、この機能はオンか
  • 外への通信と資格情報を許可しているか。許可するなら、その理由
  • コマンドを制限の外で動かす承認を、許しているか
  • インターネット上で動くMCPサーバーをつないでいるか
  • 顧客名簿など社外に出せないファイルのフォルダを、拒否の一覧に入れたか
  • アプリのバージョンが、上の表を満たしているか

あわせて読みたい記事です。

開発ではなく社内の事務をAIに任せたいなら、当サイトのAI秘書が、議事録やマニュアル作りなど社内・総務の仕事をお引き受けします。

AIに触らせる範囲を30分で整理する

自社のどの仕事をAIに任せ、どのファイルを触らせ、どこで人が確かめるかは、無料AI業務診断（オンラインで30分）で一緒に整理できます。申し込みは相談のページからです。

出典

  1. Local sandboxing for GitHub Copilot now generally available（GitHub Changelog・2026年10月7日）（参照 2026-11-04）
  2. Configuring local sandbox settings（GitHub Docs）（参照 2026-11-04）
  3. About cloud and local sandboxes for GitHub Copilot（GitHub Docs）（参照 2026-11-04）
  4. Enterprise managed settings（GitHub Docs）（参照 2026-11-04）
  5. GitHub Copilot CLI のローカルサンドボックスを試してみた（DevelopersIO・2026年6月16日）（参照 2026-11-04）
  6. GitHub Copilot App のサンドボックスで .NET アプリを開発するための設定を試してみた（Zenn・2026年11月2日）（参照 2026-11-04）