コーディングエージェントを「ホスト直置き」から切り離す——Trail of BitsのOSS「Coop」が使い捨て隔離VMとして相対急騰している 結論 Claude Code／Codex／Grok Buildを、ホストと分離した使い捨てVMの中で回すRust製CLIがCoopだ。エージェント側にはDocker・git・コンパイラ・パッケージマネージャまで渡しつつ、ホストへの影響範囲をVMごと閉じる、という設計が前面にある。セキュリティ企業が公開した隔離ランタイムという位置づけで、GitHub Trending（Rust・週次）に乗り、Hacker Newsでも短時間でポイントが載った。日本語の実装レポートはまだ薄く、コーディングエージェントのblast radiusを実機で測りたいなら今が検証窓だ。 何が新しいか 「サンドボックス付きエージェント」は増えているが、Coopの芯はmicroVM単位の使い捨て環境だ。LinuxではFirecracker＋KVM、macOSではLima（Apple Virtualization.framework経由）でVMを立て、coop claude／coop codex／coop grokでエージェントをその中に入れる。READMEの信頼モデルは、ゲストをuntrusted扱いし、VM全体をblast radiusとする。エージェントがシェルを壊しても、原則ホスト側に漏れない前提で設計されている。認証情報はゲストに丸渡しせず、loopbackに閉じたcredential proxy経由で差し替える、とドキュメント側が説明する。再現可能で、作って捨てるコストが安い、というのが売り文句だ。 検証メモ（公開ページ観察・JST） ・About一行は「Isolated VM environment for running Claude Code and Codex」 ・オーナーはtrailofbits（Trail of Bits）。リポジトリは空スタブではなく、Rust主体の実CLI ・言語表示はRust約81.8%／Shell約16.3%／Python約1.5%／Nix約0.4%。ライセンスはApache-2.0 ・Topicsにclaude-code、codex、firecracker、kvm、lima、microvm、sandbox、vmが並ぶ ・導入はcurlインストールスクリプトまたはソースビルド／Nix。初期化はcoop setup、更新はcoop update、起動はcoop up ・実行面はcoop claude／coop codex／coop grok。エージェント用のフル開発ツールチェーンをVM内で使う前提 ・対応OS：READMEはmacOS arm64（Apple Silicon）とLinux x86_64をtestedと明記。Linux arm64ビルドはあるがuntested。macOSはLima必須（brew install lima）。無いとsetupが失敗する ・最新近傍リリース：v0.6.2（2026-09-29前後）。ゲスト環境の転送をホストSSH設定から分離する変更などが入る ・最新近傍コミット：2026-10-01前後まで活発 ・アーキテクチャ／trust-modelの別ドキュメントへのリンクあり。README本文だけではポリシー詳細は完結しない ・海外ではHacker Newsに「Coop – Isolated VM Environments for Running Claude Code and Codex」系の投稿が載り、探索時点で50点台が表示された。日本語の深い実装解説はまだ少数で、英語README・英語二次記事が中心 数値（GitHub HTML観察・探索時点） ・Stars: 743／Forks: 38／Watchers: 3 ・Open issues: 45 ・GitHub Trending（Rust・今週）観察時: 約488 stars this week（ページ表示） ・Latest近傍: v0.6.2（2026-09-29） ・Hacker News: 探索時点で約56 points、投稿からおおよそ1日スケールの表示 注意 ・「隔離」はホスト直実行よりblast radiusを狭める設計であり、VM内での破壊・データ持ち出し・プロキシ経由の認可悪用までゼロにする保証ではない ・macOSはLima依存。セットアップ失敗の第一候補は仮想化前提の欠落 ・Linux arm64はuntested。本番ノートやCIをarmに寄せているなら先に互換マトリクスを自分で取る ・curl | bashの導入は便利だが、社内ポリシーがあるならソースビルド／Nix／チェックサム確認に切り替える ・credential proxyはloopback＋jailと説明されるが、エージェントに渡すスコープ（どのAPIキーを代理するか）を狭くしないと意味が薄い ・スター急増はセキュリティ企業ブランドと「Claude Codeを隔離したい」需要の両方を含み得る。採用判断は自前の脱出試験なしにしない ・v0.6系の変化が速い。ピン留めバージョンとChangelogを残すこと 次アクション／OpenClaw向け 1) 隔離用マシンまたは検証用ユーザでだけ入れる （方針に合うなら）ソースまたはNixで入れ、curl | bashは使わない coop setup 2) 空の作業ディレクトリでVMを起動し、ホスト側ホームが見えないことを確認する coop up coop claude （または）coop codex／coop grok 3) 脱出試験を3本だけ先にやる ・ホストの~/DownloadsやSSH鍵パスをエージェントに読ませようとして拒否／不可視になるか ・VM内から外向きネットワークが意図どおりか（許可したAPI以外） ・coopで落としたあと、ホストに一時ファイルやDocker残骸が残らないか 4) OpenClaw実験メモ例 ・対象: 既存リポジトリ1本をVM内だけでclone〜テストまで ・比較軸: ホスト直のClaude Code／Codex vs Coop経由 ・記録: セットアップ時間、初回起動時間、エージェント作業の成功率、ホスト側に残った痕跡の有無 ・合否: 脱出試験3本が期待どおりで、かつ普段のコーディング速度が許容範囲なら採用候補 ・バージョン: coop v0.6.2系をログに固定 GitHub trailofbits/coop

We will also host a project table tomorrow! 2026-07-30 Thursday 10:45-13:00 Room 301-304 #KubeCon github.com/lima-vm/lima/disc…

At #KubeCon today, our maintainer @Ansuman__ will talk about Lima in 5 minutes: From Containers to AI sandboxing 12:31 Room 313+314 kubecon-cloudnativecon-japan…

I missed KubeCon Mumbai happening right in my country☹️, but I am really excited about what's coming next! 🇯🇵 Konnichiwa! Thrilled to share that I'll be speaking at KubeCon Japan! Join me for my lightning talk: " @TheLimaProject in 5 minutes: From containers to AI sandboxing"