7 октября 2026 года GitHub объявил об общедоступности локальной песочницы для агента Copilot в терминале, отдельном приложении и редакторе Visual Studio Code. Это встроенный барьер безопасности: команды, которые нейросеть запускает на вашем компьютере, теперь можно запереть в строгие рамки доступа к диску, сети и секретным ключам без покупки дополнительных тарифов. Однако главный подвох кроется в настройках: по умолчанию эта защита полностью выключена. Пока вы не активируете её вручную, агент выполняет любые терминальные команды с теми же правами, что и вы сами — может читать любые папки, отправлять запросы в локальную сеть и стирать файлы на диске.
Почему агент на компьютере требовал железного забора
Когда вы просите помощника решить задачу под ключ, он действует как автономный агент: генерирует команды для консоли, ставит библиотеки, запускает тесты и собирает проект. Раньше у таких процессов не было защиты. Любая ошибка модели, вредоносный скрипт в зависимости или сбой могли затронуть домашнюю директорию, прочитать пароли браузера или стереть соседний проект.
Новая технология под названием Microsoft eXecution Container призвана навести порядок. Она не создаёт тяжёлую виртуальную машину, а напрямую связывает единые правила безопасности с защитными механизмами операционной системы: Seatbelt на компьютерах Apple с macOS 15, механизмом bubblewrap в Linux и специальными контейнерами процессов в Windows 11. Под управлением такой политики агент получает право свободно работать только с рабочей папкой проекта и служебным каталогом Git, а любые попытки заглянуть в системные директории или выгрузить личные ключи пресекаются.
Как включить изоляцию и не попасть в ловушку настроек
Чтобы не оставлять компьютер беззащитным, песочницу придётся включить самостоятельно в каждом используемом инструменте. В консольной версии Copilot CLI для этого достаточно ввести команду /sandbox enable — настройка сохранится для будущих запусков. Если нужно протестировать единичный запрос с защитой, можно запустить утилиту с флагом copilot —sandbox. В редакторе Visual Studio Code для сессий с автономным агентом потребуется открыть настройки и перевести параметр chat.agent.sandbox.enabled в положение on, после чего перезапустить окно диалога.
Любопытно, что разные версии инструмента по-разному относятся к сетевым подключениям. В консоли и в редакторе доступ к внешнему интернету по умолчанию открыт, а локальная сеть отрезана, чтобы запущенный процесс не мог сканировать устройства в домашней сети или обращаться к внутренним серверам компании. А вот в графическом приложении Copilot ситуация иная: в настройках проекта по умолчанию разрешены и внешний интернет, и локальная сеть. Изменение параметров в приложении не влияет на консоль, поэтому правила приходится проверять в каждом месте отдельно.
Разбираться в тонкостях настройки агентских систем и связывать их с реальными рабочими процессами без лишних рисков мы учим в канале Ковчег — там регулярно выходят практические разборы для тех, кто внедряет нейросети в свои повседневные задачи.
В корпоративной среде правила ещё строже: администраторы организации могут принудительно включить изоляцию через управляемые политики. Если компания запретила обход защиты, у пользователя даже не появится кнопка подтверждения опасной команды: процесс, нарушающий правила, просто завершится с ошибкой.
Где кончаются обещания и начинаются системные дыры
В официальном анонсе запуск назван общедоступным релизом, но при внимательном чтении технической документации обнаруживаются важные оговорки. Прежде всего, локальная песочница — это не изолированный сервер и не защищённая виртуальная машина. Процесс по-прежнему выполняется на вашем железе и под вашей учётной записью, просто операционная система не даёт ему выходить за очерченные границы.
На операционной системе Windows реализация пока выглядит наиболее спорной. В то время как общий анонс GitHub говорит о готовности для всех, страница документации Visual Studio Code прямо предупреждает: поддержка Windows носит статус экспериментальной. Более того, для работы требуются строгие системные обновления: сборки Windows 11 25H2 или 26H1 со свежими пакетами исправлений, причём номера необходимых обновлений в документации редактора и консоли даже расходятся.
Ещё одна уязвимость на Windows связана с сетевым прокси. Локальная песочница маскирует секретные ключи окружения и токены доступа, подставляя вместо них заглушки, а реальные значения подмешивает только при обращении к доверенным адресам GitHub через локальный перехватчик. Но на Windows этот механизм опирается на то, что программа слушает системные настройки прокси. Если консольная утилита игнорирует прокси-сервер, она может отправить прямой запрос в обход правил фильтрации.
Есть и забавные шероховатости реализации. Например, если вы добавите в список запрещённых путей файл .env с ключами доступа до того, как этот файл реально создан в папке проекта, консольный агент перед запуском изолированной команды сам создаст директорию с именем .env и не станет её удалять.
Не стоит путать локальную песочницу с облачными контейнерами. Локальный режим бесплатен и входит в любой стандартный план Copilot. Облачные же песочницы всё ещё находятся на стадии публичного предварительного тестирования и тарифицируются отдельно: там списываются деньги за каждую секунду работы виртуального процессора и гигабайты выделенной оперативной памяти.
Что стоит проверить перед запуском первой задачи
Появление локальной изоляции — важный шаг для безопасности повседневной разработки: модель наконец перестаёт быть полновластным хозяином в терминале пользователя. Однако полагаться на неё вслепую пока рано.
Если вы используете Copilot для реальных задач, первым делом проверьте статус песочницы командой /sandbox status или в настройках редактора и активируйте защиту. На Windows убедитесь, что установлены последние накопительные обновления системы, иначе изолированный режим либо молча отключится, либо заблокирует выполнение команд. И самое главное — помните, что ручное подтверждение команды вне песочницы отключает не только ограничения файловой системы, но и маскировку ваших секретов. Если агент настойчиво просит пропустить барьер, лучше проверить текст команды своими глазами, чем привычным нажатием клавиши выдать ему полный доступ к компьютеру.
