GitHub Copilot の Local sandboxing は、エージェントが起動するツールとコマンドのファイル・ネットワーク・資格情報アクセスを、開発者または組織のポリシーで制限する。6月のパブリックプレビューから、Copilot CLI、GitHub Copilot app、VS Code の Agent Host セッションへ対象が拡大。
既定はオフ。有効化するまで、シェルは利用者アカウントと同じ範囲を読み書きし、到達可能なネットワークと資格情報を使う。CLI では /sandbox enable で以後のセッションにも残す。単発は copilot --sandbox。Copilot app ではプロジェクトの Sandbox new sessions、またはセッション中の /sandbox on。CLI と app の設定は独立。
Enterprise の managed settings で必須化でき、開発者は弱められない。--no-sandbox も無効。bypass が許可されているときだけ、そのセッションに限り /sandbox disable。
有効時の既定：
- 作業ディレクトリと一時フォルダは書き込み可。Git リポジトリではメタデータも書き込み可で、作業ディレクトリより上は読み取りのみ。ホーム全体は対象外
- インターネット送信は既定オン、ローカルネットワークはオフ
- Git と GitHub CLI（
gh）の認証は既定オン。サンドボックス内はプレースホルダで、ローカルプロキシが承認済み HTTPS 先へ実資格情報を渡す - ローカル MCP と language server は既定で対象。リモート MCP は対象外
基盤は Microsoft eXecution Container（MXC）。共通ポリシーを Windows / macOS / Linux の OS 制御へ落とす。仮想マシンやコンテナではなく、プロセスの読み書きとネットワーク到達の制限。モデル実行とは別で、ポリシーはどのモデルでもツール実行に適用。
CLI 組み込みのファイルツールは CLI プロセス内で動き、OS サンドボックスの外。ポリシーはベストエフォートで自己検査。GitHub Copilot のシートに含まれ、追加料金なし。macOS 15（Sequoia）以降、Linux は bubblewrap 0.5.0 以降、Windows 11 の対応更新が前提。