エージェントに使い捨ての「microVM」を手元のMacで　OSSのtryboxi

AIエージェントに、自分のMacの中で動く使い捨てのLinuxマシンを1台ずつ渡すオープンソースの道具「tryboxi」が、GitHubで公開されている。エージェントはその中でコマンドを動かし、手元のリポジトリへの変更は差分を見てから取り込む。APIの鍵のような秘密の値はマシンの中に入れない。Claude CodeやCodexに強い権限を渡すのをためらっていた個人や小さなチームにとって、クラウドの実行環境に払わずに隔離を足す選択肢になる。

エージェントごとに1台のLinux

tryboxiのGitHubのページによると、作れるのは「microVM」と呼ばれる小さな仮想マシンだ。中身はUbuntu 24.04で、マシンごとに自分のカーネルを持つ。作って、コマンドを動かし、標準出力と終了コードを読み、終わったら捨てる、という流れを想定している。説明には「E2Bを自分のコンピューターで」とあり、コードはマシンの外に出ず、費用はかからないと書く。ライセンスはMITだ。

Macでは米AppleのVirtualization.frameworkで仮想マシンを動かし、Apple Siliconを積んだmacOS 14以降が要る。Linuxでは「Firecracker」を使うが、実機での確かめはまだLimaの上に限るという。Windowsには対応していない。手元のMac（M4、メモリ16GB）で測った値として、あらかじめ温めておいたマシンを渡すまでが20〜50ミリ秒、何もない状態からの起動が1.2秒と載っている。ディスクに退避したマシンの再開は0.5〜0.7秒、動いているマシンの複製は1台あたり約0.8秒だ。

変更は差分を見てから戻す

エージェントは仮想マシンを直接触らず、「sandboxd」という常駐のプログラムに頼む。リポジトリは仮想マシンへ写し、中での変更は「diff」「apply」「pull」の3つのコマンドでしか手元に戻らない。「apply」は3方向のマージで取り込み、「pull」は整形の道具やロックファイルが書き換えたファイルを持ち帰る。どちらも書き換える前のファイルを控え、「undo」で元に戻せる。

つまり、エージェントが中で何を壊しても、手元のリポジトリに届くのは人が差分を見て通した変更だけになる。動いているマシンを複製する「fork」や、途中の状態を残すスナップショットもあり、同じ作業を並べて試すこともできる。

秘密の値と通信を絞る

秘密の値は仮想マシンに入らない。中から見えるのは代わりの文字列だけで、許した宛先への通信の時に、外へ出る通信を中継するプロキシが本物の値に差し替える。ほかの宛先に代わりの文字列を送ろうとすると止める。通信は許可リストの方式で、最初の準備のコマンドだけを開いた通信で動かし、その後は閉じる使い方ができる。エージェントが止められた宛先を開けたい時は、許可を求め、人が認めて開く。

エージェントへのつなぎ方も用意した。「sandboxctl mcp install」にcursor、claude、codexのどれかを付けると、MCPのサーバーを登録し、いつ仮想マシンを使うかを書いたルールのファイルを置く。Claude Codeでは「.claude/skills/sandbox/SKILL.md」を書き、Codexでは「AGENTS.md」に追記する（元のファイルは控える）。使い始めるには、カーネルとUbuntuのイメージを一度Dockerで作る必要があり、ページには約3分とある。

確認した時点で、スターは25、コミットは12件と、出たばかりの小さなプロジェクトだ。それでも、エージェントに手元で強い権限を渡す前に、壊れても困らない場所と、戻す前に人が見る差分を挟むという形を、無料で手元にそろえられる。

編集部の見方

編集部は、tryboxiの価値は速さより、エージェントの変更が手元に戻る道を差分の確認だけに絞った点にあると見る。秘密の値を中に入れず、通信を開く時も人が認める形は、任せる範囲を広げる時の確かめる工程をそのまま道具にしたものだ。試すなら、まず捨ててよいリポジトリで、エージェントが通信の許可を何回求めるかを数えるとよい。ただし、まだスターが少なく、Linuxでの実機の確かめも限られるので、本番の作業を預けるのは更新が続くかを見てからにしたい。