AIコーディングエージェントの性能は確かに上がってきた。だが、実際のプロジェクトでどこまで自由に動かせるか。多くの開発者がこのジレンマを抱えている。エージェントはコマンドを実行し、ファイルを読み書きし、サーバーを起動し、ブラウザすら操作する。その一方で、開発マシンには秘密鍵や設定ファイル、各種クレデンシャルが眠っている。従来のやり方はコマンド単位で許可を求めるもので、安全だが効率は悪い。
h5iはこの問題に別の角度からアプローチする。個々のコマンドを審査するのではなく、環境そのものを外に切り離す。Claude CodeやCodexといったAIコーディングエージェント向けのオープンソースサンドボックスで、公式には「統合サンドボックス」と位置づけられている。使い捨てで、捨てられ、監査できる。
「ひとつの境界」という設計思想
h5iの設計は明快だ。エージェント、ワークスペース、シェル、依存関係、開発サーバー、ブラウザをすべて同じ隔離境界の中に置く。ホスト側のファイルやクレデンシャルは境界の外に残る。公式の言葉を借りれば「one boundary, not one command」である。コマンド単位で縛るのではなく、セッション全体を自己完結させてしまう。
つまり、エージェントはその内部でほぼ自由に動けるが、外へは出られない。npm installを実行することも、ファイルを書き換えることも、ブラウザで認証ページをクリックすることも、すべてサンドボックス内で完結する。作業が終われば、h5iはレビュー可能なパッチ（patch）と実行ログを出力する。どのコマンドが拒否されたのか、どのファイルが変更されたのか、記録として残る。
- 軽量サンドボックス：起動時間は200ミリ秒未満とされ、特別な高リスク作業だけでなく、日常のタスクにも使える。
- MicroVM分離：より強い境界が必要な場合は、独立したカーネルを持つ仮想マシンモードに切り替えられる。隔離レベルがプロセス単位からハイパーバイザー単位へと引き上げられる。
- 隔離ブラウザ内蔵：サンドボックス内にChromeと新しいプロファイルが用意され、エージェントが内部で操作できる。開発者は同じビューポートを見ながら、必要に応じて操作を引き継ぐことも可能だ。
- 監査可能な出力：パッチ、レポート、レシート（receipt）がファイルとして出力される。終了コードはスーパーバイザー由来、拒否されたアクセスはエージェント由来というように、エージェント自身の報告をそのまま信用しない仕組みだ。
ローカルファースト、SaaS不要の設計
h5iは単一のRustバイナリだ。インストールすれば自分のマシン上で動き、デーモンプロセスもなければクラウドサービスも不要。アカウント登録もいらない。公式が強調するローカルファーストは、データのプライバシーやコンプライアンスを気にするチームにとって大きな意味を持つ。サンドボックスで発生したものはすべてローカルに留まり、機密コードが第三者に送信されることはない。
ライセンスはApache 2.0。GitHub上では500以上のスター、45以上のフォーク、15人以上のコントリビューターがいる。爆発的な人気とまでは言えないが、開発者向け基盤として一定の実利用者がいる証拠だろう。
「Gitは何が変わったかを記録する。h5iはその他すべてを記録する。」――公式の説明
この言葉はh5iの立ち位置をよく表している。単なるサンドボックスではなく、AI開発時代の「Gitの横に置くサイドカー」だ。Gitがコードの差分を追うのに対し、h5iは各変更の背景にあるプロンプト、モデル、読み込んだファイル、推論プロセス、テスト結果、監査シグナル、サンドボックス内のイベント、エージェント間の引き継ぎまでを記録する。
どんなチームに向いているか
Claude CodeやCodexを実際のプロジェクトで使い、エージェントの誤操作による環境汚染を心配しているなら、h5iはひとつの妥協点になる。エージェントに自由を与えつつ、リスクは箱の中に閉じ込める。複数のエージェントを並行して動かしたいチーム（たとえばモジュールごとに別のエージェントを担当させる場合）では、隔離と出力の仕組みによって、各エージェントが何をしたのかを追跡しやすくなる。
導入のハードルは低い。curlコマンド一発でインストールでき、サーバー設定やアカウント登録は不要だ。ただし、公式が公表している「トークン浪費を95%削減」「PR概要が3.5倍リッチ」「マルチエージェントのリアルタイム会話が1.8倍速」といった数値はあくまで公式測定によるもの。実際の効果はワークロード次第なので、最初は低リスクなブランチで試してみるのがいい。
個人開発者や小規模チームにとってのh5iの価値は、面倒な環境の後始末から解放されることだ。エージェントのタスクごとに手動で環境をクリーンアップする必要もないし、ホストにゴミを残される心配もない。コンプライアンスを重視するチームにとっては、パッチとログの出力がAIの行動を証明する手段になり、監査の場面では事実上の必須要件になるだろう。
コメント
コメントはまだありません
最初のコメントを書きましょう