Материал подготовлен по официальному GitHub Changelog от 7 октября 2026 года. Ниже — русская адаптация с практическими пояснениями.

GitHub сделал локальную песочницу для Copilot общедоступной. Теперь команды, которые AI-агент запускает на компьютере разработчика, можно выполнять внутри ограниченного окружения с правилами доступа к файлам, сети и credentials.

Local sandboxing доступен в GitHub Copilot CLI, приложении GitHub Copilot и сессиях VS Code, которые используют Agent Host.

Зачем Copilot вообще нужна песочница

Агентный режим отличается от обычной подсказки кода. Агент может запускать terminal-команды, менять файлы, обращаться к инструментам и выполнять цепочку действий без подтверждения каждого мелкого шага.

Чем автономнее такой процесс, тем важнее ограничить его реальные системные возможности.

Без sandbox команда, запущенная агентом, потенциально работает с теми же правами, что и обычный процесс пользователя. Это означает доступ к файлам проекта, локальной сети, Git credentials и другим ресурсам, если сама операционная система не ограничивает их отдельно.

Что можно ограничить

GitHub перечисляет несколько типов ресурсов, которыми можно управлять через sandbox policy.

• файлы и директории, которые команды агента могут читать;
• пути, в которые разрешена запись;
• доступ в Интернет;
• доступ к локальной сети;
• Git credentials;
• GitHub CLI credentials;
• локальные инструменты и сервисы;
• поддерживаемые MCP-серверы и language servers.

То есть песочница работает не как отдельный warning в интерфейсе, а как реальная граница выполнения.

Один policy для Windows, macOS и Linux

В основе local sandboxing используется Microsoft eXecution Container, или MXC.

Его задача — преобразовать общую sandbox policy в нативные ограничения конкретной операционной системы. GitHub заявляет поддержку Windows, macOS и Linux.

Для команды это важно: вместо трёх полностью разных схем безопасности можно описывать единый набор правил, а нижний слой применяет подходящие механизмы ОС.

Песочница не привязана к конкретной модели

GitHub отдельно подчёркивает, что model execution и tool isolation — разные вещи.

Sandbox policy действует на выполнение инструментов независимо от того, какая модель выбрана в Copilot.

Это логичный подход. Риск возникает не потому, что используется конкретная LLM, а потому, что агент получил возможность читать файлы, выполнять команды или обращаться к сети.

Можно запретить агенту читать лишние файлы

Представим монорепозиторий, где агенту нужно работать только с одним сервисом.

Вместо того чтобы давать ему весь рабочий каталог, policy может ограничить доступ конкретными директориями.

То же относится к записи. Агент может читать исходники проекта, но не иметь возможности менять SSH-конфигурацию, домашний каталог или файлы за пределами workspace.

Сетевой доступ тоже можно контролировать

Для coding agent сеть — один из самых чувствительных ресурсов.

Она нужна для package manager, API, документации и внешних сервисов. Но через сеть процесс потенциально может отправить данные за пределы локальной машины.

Sandboxing позволяет задавать правила доступа к Интернету и локальным сетям отдельно.

Это особенно полезно в корпоративной среде, где исходный код и внутренние endpoints не должны быть доступны произвольному процессу.

Отдельный контроль credentials

Git credentials и GitHub CLI credentials тоже входят в список ресурсов, которые можно ограничить.

Это важнее обычного ограничения файлов. Даже если агент не может читать файл с token напрямую, уже авторизованный CLI может предоставить ему действие через существующую сессию.

Поэтому политика должна учитывать не только secrets на диске, но и авторизованные инструменты.

Что с локальными MCP-серверами

GitHub пишет, что sandboxing можно применять к локальным tools и services, включая поддерживаемые локальные MCP и language servers.

Это делает границу безопасности шире самого terminal.

Если агент получает дополнительный инструмент через MCP, его возможности тоже должны учитываться при проектировании policy.

Enterprise может сделать sandbox обязательным

Для организаций предусмотрены enterprise-managed settings.

Администратор может потребовать использование sandboxing и применить политики, которые отдельный разработчик не сможет ослабить самостоятельно.

Такой подход полезен там, где агентные workflows уже используются массово и нельзя рассчитывать только на аккуратность каждого пользователя.

Local sandboxing не означает local AI

Это два разных понятия.

Песочница ограничивает выполнение инструментов на компьютере. Она не означает, что сама модель обязательно запускается локально.

Copilot может использовать cloud model, а terminal-команды при этом выполняются в локальном sandbox.

И наоборот: локальная модель сама по себе не создаёт безопасную границу для tools.

Нужно ли доплачивать

По информации GitHub, local sandboxing включён в GitHub Copilot без отдельной доплаты.

При этом конкретные возможности Copilot и доступность агентных режимов всё равно зависят от продукта и плана.

Почему это важный шаг для AI-агентов

До сих пор многие агентные инструменты упирались в неудобный выбор: либо подтверждать почти каждую команду вручную, либо дать процессу слишком много прав.

Sandbox позволяет сделать промежуточный вариант. Агенту можно разрешить больше самостоятельности, но только внутри заранее определённой области.

Это особенно актуально, когда AI работает не минуту, а выполняет длинную задачу с установкой зависимостей, тестами, изменением файлов и Git-операциями.

Что проверить перед включением автономного режима

Практический вывод

Local sandboxing не делает любой агентный код автоматически безопасным, но даёт системную границу между AI-инструментом и компьютером разработчика.

Чем больше действий Copilot выполняет самостоятельно, тем полезнее принцип минимальных прав: дать агенту ровно тот доступ, который нужен для конкретной задачи.

Если AI-workflow связан с CI/CD, можно дополнительно посмотреть материал про автоматизацию GitHub Actions и статью про Copilot Code Review через API.

Официальный источник

GitHub Changelog — Local sandboxing for GitHub Copilot now generally available