CLI 1.1.14 に上げる前に、ワークスペースの外へ書いている箇所を数える
Antigravity CLI 1.1.14 で、ワークスペース外のパスは既定で読み取りのみになりました。素材フォルダと配信先をリポジトリの外に置いている構成では、どこが止まるのかを更新前に知っておきたいところです。書き込み先を機械で洗い出すスクリプトと、その数え漏れの直し方をまとめました。
何にも一致しないつもりの1行が、全コマンドを承認していました — allowlist の空集合を棚卸しする
コマンド語がゼロ個に分解される allowlist entry が、すべてのコマンドに一致して自動承認していた問題。手元の設定を分解して測り、修正で閉じた穴と閉じなかった穴を切り分け、先頭トークン列一致へ書き換えるまでの手順をまとめました。
agent.md の綴り誤りが権限を広げていた — frontmatter を厳格に検証する lint を書く
agent.md の frontmatter は綴りを間違えてもエラーになりません。既定値へ静かに落ちた結果、意図と逆の権限が適用されていた実例と、権限キーだけを厳しく検証する lint の実装・実測を記録しました。
&& の右側は誰が承認していたのか — コマンドを分解してから allow ルールに当てる
承認画面に出ていたのは、実行されるコマンドの一部でした。&& や ; で連結したコマンドを引用符とコマンド置換を越えずに分解し、セグメント単位で allow ルールに当てるハーネスを、自分の運用コマンド45本での実測とともにまとめます。
作業フォルダの外に書けてしまった朝 — 無人実行の書き込み先を1関数で検札する
Antigravity CLI 1.1.3 で、always-proceed のときワークスペース外への書き込みが誤って自動承認されていた不具合が塞がれました。無人実行の書き込み先を、正規化と包含判定だけで検札する小さなガードを、すり抜け試験つきでまとめます。
黙って通していた確認ツールを、ソフト拒否から allow ルールに起こす
Antigravity CLI 1.1.3 で、ヘッドレスの -p は確認の要るツールを黙って自動承認する代わりに、ソフト拒否して必要な allow ルール名を stderr に示すようになりました。この出力を「発見」に使い、全許可からではなく空許可から最小権限を組み上げる逆向きのループを、動くハーネスと個人運用の実測でまとめます。
Android 17 のローカルネットワーク権限 — LAN に触る箇所を機械で洗い出してから、エージェントに直させる
新しい API レベルではローカルネットワークへの明示的な許可が必要になります。grep では 11 経路のうち 2 つしか見つかりませんでした。経路の種類で拾う検出器と、エージェントに渡せる作業単位への畳み方を実測とともに。
書き込みより怖いのは到達先だった — エージェントの外向き通信を許可ホストだけに絞る
エージェントに実作業を委ねるとき、私が一番警戒しているのはファイルの書き換えではなく、どこへ通信するかです。到達先を deny-by-default で絞る小さなゲートの実装と、21晩の無人運用で拾った通信の内訳をまとめました。
許可を尋ねられても、答える人がいない — 統一パーミッションを無人実行の契約として書く
v2.2.1 の統一パーミッションは対話を前提にしています。深夜に走るスケジュール実行では、その前提が崩れます。allow / deny / queue の三分法でポリシーを事前宣言し、無人でも止まらない契約として書き下す設計をまとめました。