GitHub הוסיפה לאפליקציית Copilot בידוד מקומי שמאפשר להגביל את הגישה של כלי הסוכן לקבצים, לרשת ולפרטי הזדהות. העדכון הוכרז ב-23 בספטמבר, נמצא בתצוגה מקדימה ציבורית וכבוי כברירת מחדל. כדי להשתמש בו צריך להפעילו עבור הפרויקט הרלוונטי.
ההבחנה חשובה: פתיחת ענף או סביבת עבודה נפרדת אינה בהכרח מגבילה את מה שפקודה יכולה לקרוא מחוץ לפרויקט. לפי התיעוד של GitHub, ה-Sandbox מוסיף הגבלות ברמת מערכת ההפעלה על הכלים שהסוכן מריץ.
ההפעלה וההרשאות הן שתי החלטות שונות
להפעלת הבידוד בסשנים חדשים, פותחים את הגדרות האפליקציה, בוחרים פרויקט ומפעילים Sandbox new sessions. בסשן מקומי פעיל אפשר להשתמש בפקודה /sandbox on, שאינה משנה את ברירת המחדל של הפרויקט.
אחרי ההפעלה צריך לבדוק גם את המדיניות. אפשר לתת לתיקיות גישה לקריאה בלבד, לאפשר קריאה וכתיבה או לחסום אותן. ניתן גם לשלוט בגישה לאינטרנט ולרשת המקומית, ובהרשאות Git ו-GitHub CLI. עצם הפעלת ה-Sandbox אינה סוגרת את כל הערוצים האלה: ברירת המחדל מאפשרת חיבורי רשת ופעולות Git מזוהות.
שינוי מדיניות חל בסשנים חדשים או לאחר הפעלה מחדש. הגדרות ארגוניות עשויות להחמיר את המדיניות שנבחרה בפרויקט.
הגבולות משתנים לפי הסביבה
הודעת העדכון מבהירה שהאפשרות אינה חלה על סשנים בענן או במארח מרוחק. הגדרות אפליקציית Copilot והגדרות Copilot CLI נפרדות. כאשר מערכת ההפעלה אינה יכולה לאכוף את המדיניות המבוקשת, הפקודה אמורה להיכשל במקום לרוץ ללא בידוד.
בתיעוד מופיעה גם מגבלה ל-Linux: אי אפשר לשלוט בנפרד בגישה לרשת המקומית עבור תהליכים שנוצרו, כגון פקודות shell. לכן חשוב לקרוא את מגבלות הפלטפורמה ולא להניח שכל מתג פועל באופן זהה בכל מחשב.
צוות שמפעיל סוכן לצד קבצים רגישים יכול להתחיל בניסוי עם תיקיית בדיקה נטולת סודות אמיתיים, להגדיר חסימה ולוודא שהגישה נדחית. כך בוחנים את המדיניות בפועל לפני שמסתמכים עליה בפרויקט עבודה. לא ערכנו כאן בדיקת חדירה או בדיקת אכיפה מקומית.