| name | execute-script-safely |
| description | 使い捨ての Python / shell スクリプトを sandbox 内で実行する前に、
haiku Agent で security pre-review を通して安全性を判定する。
サンドボックスは外部ネット exfil は防ぐが secret 読取や CWD 内の
source code poisoning は防げないため、実行前チェックが必要。
以下の場面で使用 (review-loop skill からも呼ばれる):
- 動作確認のため /tmp/check_*.py 等の一時スクリプトを実行
- 調査 snippet を uv run python や .venv/bin/python で走らせる
- サブエージェントが生成したスクリプトを実行する
以下では使用しない:
- プロジェクトに commit 済みのスクリプト (scripts/run.py 等) の実行
- allowlist 済み固定 entrypoint (pytest, ruff) の起動
- python -c "print(1+1)" レベルの 1 行 snippet
(ただし未知モジュールを import する場合は対象)
|
| allowed-tools | Agent, Read, Write, Bash |
| model | haiku |
| license | MIT |
| metadata | {"origin":"https://github.com/ebal5/agent-skills"} |
Execute Script Safely
一時スクリプトを sandbox 内で実行する前に haiku Agent で security review を
通し、判定結果に応じて実行 / 停止 / ユーザー確認を切り分ける。
なぜ必要か
サンドボックス単体では完全に安全ではない:
| 層 | 防御 | 攻撃経路 |
|---|
| Network | 限定 host のみ許可 | 外部 exfil は防げる ✅ |
| FS read | 制限なし | HOME 内 secret (~/.ssh/, ~/.aws/, .env) 読める ❌ |
| FS write | CWD / $TMPDIR のみ | HOME 持続化は防げるが CWD 内 source poisoning は可能 ❌ |
| Process | 子プロセス継承不明 | subprocess spawn が escape する可能性 ⚠️ |
最大脅威: source code poisoning → sandbox 外実行。スクリプトが
CWD 内の .py / .github/workflows/*.yml / pyproject.toml を書き換え、
ユーザーが sandbox 外 (CI, ローカル shell) で実行した瞬間に secret 流出 /
任意コード実行が成立する。
Workflow
Step 1: スクリプトをファイルに書き出す
メモリ上ではなく以下のいずれかに配置:
/tmp/claude/xxx.py (ephemeral)- CWD 内
.tmp-scripts/xxx.py (gitignore 済み前提)
Step 2: haiku Agent で pre-review
pre-review プロンプトは pre-review-prompt.md を読み込み、スクリプト本体を差し込んで Agent に渡す。
Step 3: 判定別の対応
| 判定 | 対応 |
|---|
| clean | 7 項目いずれも該当しない or 意図明白で害なし。実行 OK |
| suspicious | 1 項目以上該当するが直接的悪意は見えない。ユーザー確認 |
| dangerous | 明確な exfil / secret 読取 / source 改変。即停止、報告 |
Step 4: 実行
clean なら:
uv run python <path> (allow 済み).venv/bin/python <path> (allow 済み)
suspicious / dangerous なら ユーザーに判定と根拠を提示し、許可を仰ぐ。
silent pass は絶対に行わない (後から辿れなくなる)。
スキップ可能な場合
以下は pre-review なしで実行 OK:
- プロジェクトに commit 済みのスクリプト (履歴でレビュー済み前提)
- pytest / ruff / 特定 CLI の allow 済み entrypoint
uv run python -c "print(1+1)" 級の 1 行 snippet
(ただし未知モジュール import を含む場合は対象)
実装 Tips
- haiku モデル指定:
Agent(subagent_type: "general-purpose", model: "haiku", ...)
で低コスト固定
- ファイル渡し: スクリプトをファイル化してから Agent に渡す
(生コード貼るより再読込可能、大きなスクリプトでも欠損しない)
- 判定結果はユーザー出力必須: 「実行前に haiku で判定: clean、理由: ...」
のように見える形で 1 行残す
- ループ化しない: 1 スクリプト 1 review。判定後に edit した場合は再 review
よくある誤検出 (clean なケース)
open("data.json", "w") で CWD に書く → clean (CWD 内書込は想定内)subprocess.run(["git", "status"]) 引数固定 → clean (injection 余地なし)os.environ.get("HOME") 単独 → clean (exfil 先がなければ無害)requests.get("https://docs.anthropic.com/...") → clean (allow host)
dangerous 例
open(Path.home() / ".ssh/id_rsa") + print(f.read()) → exfil 経路準備Path(".github/workflows/ci.yml").write_text(attacker_controlled) → poisoningexec(base64.b64decode(blob)) → 難読化実行subprocess.run(f"curl {url} | bash", shell=True) → 命令 injection
判定に迷ったら
suspicious に寄せてユーザーに判断を仰ぐ。誤判定で dangerous 扱いしても
実行が止まるだけだが、誤判定で clean として悪意コードが走ると取り返しが
つかない。保守的に判定する。
