エージェントを隔離して動かす選択肢（nono / Docker Sandboxes / agentos / VPS）
権限確認を減らして放置運用したいなら、エージェントを OS サンドボックス・コンテナ・軽量VM・専用VPS のどれかに閉じ込める。手軽さと隔離の強さのトレードオフで選ぶ。
どんな時に使う？
- 「全部許可」で走らせたいが、ホームディレクトリや認証情報を触られたくない
- 複数エージェントが互いのファイルを踏み荒らすのを防ぎたい
選択肢
| 方法 | 手軽さ | 中身 |
|---|---|---|
| nono | ◎ nono run -- <command> | OS のサンドボックス（macOS は Seatbelt、Linux は Landlock）のラッパー |
| Docker Sandboxes | ○ | コンテナで隔離。ネットワーク制限もかけられるが、ツールを増やすたびに許可先の管理が要る |
| agentos | △（セルフホスト） | エージェントごとの軽量VM内に仮想FS・プロセス・ネットワーク。Claude Code / Codex / opencode 対応 |
| 専用VPS 1台 | ○ | マルチテナントのクラウドサンドボックスより圧倒的に安い。必要なのは「エージェント同士が干渉しない」程度の分離、という割り切り |
手順（最小構成）
bash
nono run -- claude # まずは OS サンドボックスで起動して困る操作を洗い出す困る操作が分かったら、許可を足すか、Docker / VPS に移行する。
注意点
- サンドボックス内でも、マウントしたディレクトリと渡した認証情報は触られる。必要最小限のみ渡す。
- Claude Code / Codex / Copilot には組み込みサンドボックスもある（Copilot のローカルサンドボックスは 2026-10 に GA）。まず組み込みを検討。