エージェントの通信をプロキシ経由にして、許可したサイトにしか出られないようにする
エージェントの HTTP(S) 通信をプロキシに通し、許可リストにあるドメインだけ通す。fence・nono・srt などのツールがこの機能を持っている（@songmu）。
ファイルの隔離（エージェントを隔離して動かす選択肢（nono / Docker Sandboxes / agentos / VPS））だけだと、読んだ秘密情報を外へ送られる経路が残る。外向き通信を絞ると、プロンプトインジェクションでの持ち出しや、知らないパッケージの取得を防げる。
手順
- エージェントが必要とする接続先を洗い出す（モデルの API、パッケージレジストリ、GitHub、社内ドキュメントなど）
- fence／nono／srt のいずれかで、その接続先だけを許可してエージェントを起動する（各ツールの設定方法は公式の README を確認）
- 最初は許可リストを狭くし、止められた通信のログを見ながら必要なものだけ足す
注意点
- 許可したドメイン経由の持ち出し（たとえば GitHub への push や gist）は防げない。書き込み権限のあるトークンは渡さない
- DNS や直接 IP での接続がプロキシを通らない構成だと抜け道になる。ツールがそこまで塞ぐかを確認する
- ツールごとの細かい機能差は投稿では触れられていないため、導入前に README で確認する