影響範囲を尊重する自動化

各エージェントはそれぞれ専用の container で動作します

作業は workflow ごとに隔離されます: container も、git worktree も、環境も別々です。チケットの説明やリンクされたコンテンツは、プロンプトに埋め込まれる信頼できない入力です。だからこそ container 化により、乗っ取られたエージェントセッションが触れられる範囲を制限します — エージェントの行儀を信じるのではなく、prompt injection の影響範囲を縮小するのです。

egress は許可リスト方式の firewall を通ります

送信トラフィックは設計上、許可リスト方式です。到達できるのは厳選されたホストの集合だけで、それ以外はすべてデフォルトで拒否されます。デフォルトのリストは自分のツールだけにとどまりません — コーディングエージェントが正当に必要とするパッケージレジストリや開発者向けドキュメントサイトも含まれています:

• あなたのチケット管理システム — Jira / Atlassian（developer.atlassian.com を含む）または GitHub（docs.github.com を含む）
• AI プロバイダーの API — 有効にしたプロバイダーについては、Claude、Codex（OpenAI）、Cursor のホストが最初から許可されます。OpenCode はセルフホストなので、代わりにその base_url が許可されます
• パッケージレジストリ — npm（および `.npmrc` のもの）、crates.io、docs.rs、nodejs.org
• 一般的な開発者向けドキュメント — rust-lang.org、MDN、Stack Overflow
• AWS STS / SSO エンドポイント（AWS 認証を使う実行向け）

AI プロバイダーのホストは、available_providers で有効にしたプロバイダーに追随します — このリストを絞れば firewall を狭められますし、extra_egress_hosts で自分のホストを追加することもできます。firewall は影響範囲を狭める多層防御の一層と捉えてください。絶対的な保証ではなく、beta の間も継続的に強化中です。

銀の弾丸ではなく、多層防御

隔離はリスクを低減しますが、ゼロにはしません。Takuto は、侵害された実行が実害を及ぼせないように、いくつかのデフォルトが整っていることを前提とします:

デフォルトでプライバシー保護

Takuto は誰のことも追跡しません — プロダクトでも、この Web サイトでも。

• 使用状況の分析も、クラッシュレポーターも、phone-home も、テレメトリもありません。
• あなたのコード、チケットの内容、プロンプトは、あなたが設定した AI プロバイダーにのみ送られます — Takuto 自身がそれらを収集することはありません。
• container 化されているので、自分のマシンでも自分のサーバーでも動きます: デプロイはあなたのものです。