AI coding agentの間接プロンプトインジェクション対策｜README・issue・外部ドキュメントを信じすぎない

agent phaseのnetworkとsetup scriptsのnetworkを分ける

Codex cloudで「agent internet accessをOFF」にしても、setup scriptsの依存取得まで自動的に同じ制限になるとは扱いません。agentがWebページ、issue、dependency READMEを読みながら実行する通信と、環境準備のためのsetup通信を別の段階として棚卸しし、どの段階で何が外部へ出るかを確認します。

Codex cloudのnetworkを有効にする前の停止条件

• agent phaseのnetworkが本当に必要かを先に分け、公式Docsの閲覧や依存取得を一つの広い許可にまとめない。
• ONにするenvironment、対象task、期限、許可domain、HTTP method、送信してよいデータを依頼文とログへ残す。
• domain allowlistの`All (unrestricted)`を便利さだけで選ばず、NoneまたはCommon dependenciesから狭く始める。
• GET・HEAD・OPTIONSで足りる読み取り作業へPOST・PUT・PATCH・DELETEを許可しない。書き込みが必要なら送信先、payload、secret、監査ログを別に確認する。
• issue、README、Webページ、dependencyの説明に隠れた命令があっても、外部送信、secret、diff、ログの転送を実行しない。
• networkを有効にしたagentのoutput、work log、生成差分、取得した依存のlicense・脆弱性を確認し、完了報告だけで採用しない。
• setup scriptsが先にネット接続できる前提で、普段のAPI key、GitHub token、SSH key、cloud認証が同じenvironmentにないか確認する。