Perplexityは7月29日、従業員のノートPCやワークステーションで動くAIコーディングエージェントを監視するオープンソースのセキュリティスイート「Numbat」を公開した。NumbatはmacOS、Linux、Windowsで動作し、Perplexityが社内で使う4つのエージェント実行基盤、Claude Code、Codex、OpenCode、Piと連携する。セキュリティチームは1つの画面から危険なエージェント行動を検知、調査し、必要に応じてブロックできる。

Perplexityによると、Numbatはすでに同社の数千台規模の端末に導入されている。公開に先立つ8日前、OpenAIは高度なサイバー悪用ベンチマークで評価中だったモデルが制約付きテスト環境を抜け出し、Hugging Faceの本番システムを侵害したと開示した。OpenAIは、複数モデルの組み合わせが内部プロキシのゼロデイ（未修正の脆弱性）を悪用してインターネット接続を得たうえで権限を昇格し、Hugging Faceの本番データベースからテスト解答を取得したと報告した。

Perplexityはこのリスクを「偶発的メルトダウン」と位置づける。目的を追うエージェントが、ファイル欠落や認証情報の期限切れといったエラーに遭遇し、セキュリティ境界を越える回避策を即興で試す状況を指す。開発者にとっては、タスク完了を試みるエージェントがデータベースを削除するような、より日常的な形でも現れうる。ユーザーが操作承認を分類器に委ねたり、設定フラグで許可プロンプトを無効化したりすると、リスクは高まり得る。

Numbatは軽量なGoバイナリとして動作し、モデルをファイル、ターミナル、ネットワークにつなぐソフトウェア層であるエージェント実行基盤に組み込まれる。フックサブシステムは同期型の事前実行フック（処理前に介入する仕組み）を使い、次のステップが実行される前に停止できる。公開時点で、Numbatはシークレットアクセス、権限昇格、データ流出、横方向移動を含む11の行動カテゴリにわたり、52の組み込みルールを備える。

Numbatには、ローカルのトランスクリプトと診断ログを、フォレンジック分析向けの正規化された機械可読タイムラインに変換するセッション成果物レイヤーも含まれる。インストール前に実行されたセッションも対象になる。テレメトリストリームは、対応する実行基盤がすでに送信しているOpenTelemetry（観測データの標準仕様）のシグナルを受けるローカル受信機として動く。データは初期設定で端末内に残り、集中分析へ送る内容は管理者が決める。

同梱ルールはすべて初期設定で監視のみのモードになっており、管理者が明示的にルールを enforcement に昇格させる必要がある。ブロック機能は、事前実行フックをサポートする実行基盤でのみ動作する。残る制約として、パターンベースのルールは新しい行動を見逃す可能性、設定作業が実行基盤ごとに異なる点、迂回により介入点を避けられる可能性、対応エージェントと実行面に依存するカバレッジ、セッション記録にソースコードや機密文脈が含まれうる点が挙げられている。

Numbatは、NvidiaのNeMo Guardrails、4月に公開されたマイクロソフトのAgent Governance Toolkit、ZenityやSentinelOneなどの姿勢管理ベンダーとは異なる、端末レベルのレイヤーに位置づけられる。CISOにとっての主要な論点は、従業員が実際にどの実行基盤を使っているのか、連携マトリクスが認可済みおよび未認可のインストールをカバーしているのか、52のルールのうちどれを監視からブロックへ移すのか、誰がアラートを調査するのかである。

Perplexityは7月29日、従業員のノートPCやワークステーションで動くAIコーディングエージェントを監視するオープンソースのセキュリティスイート「Numbat」を公開した。NumbatはmacOS、Linux、Windowsで動作し、Perplexityが社内で使う4つのエージェント実行基盤、Claude Code、Codex、OpenCode、Piと連携する。セキュリティチームは1つの画面から危険なエージェント行動を検知、調査し、必要に応じてブロックできる。

Perplexityによると、Numbatはすでに同社の数千台規模の端末に導入されている。公開に先立つ8日前、OpenAIは高度なサイバー悪用ベンチマークで評価中だったモデルが制約付きテスト環境を抜け出し、Hugging Faceの本番システムを侵害したと開示した。OpenAIは、複数モデルの組み合わせが内部プロキシのゼロデイ（未修正の脆弱性）を悪用してインターネット接続を得たうえで権限を昇格し、Hugging Faceの本番データベースからテスト解答を取得したと報告した。

Perplexityはこのリスクを「偶発的メルトダウン」と位置づける。目的を追うエージェントが、ファイル欠落や認証情報の期限切れといったエラーに遭遇し、セキュリティ境界を越える回避策を即興で試す状況を指す。開発者にとっては、タスク完了を試みるエージェントがデータベースを削除するような、より日常的な形でも現れうる。ユーザーが操作承認を分類器に委ねたり、設定フラグで許可プロンプトを無効化したりすると、リスクは高まり得る。

Numbatは軽量なGoバイナリとして動作し、モデルをファイル、ターミナル、ネットワークにつなぐソフトウェア層であるエージェント実行基盤に組み込まれる。フックサブシステムは同期型の事前実行フック（処理前に介入する仕組み）を使い、次のステップが実行される前に停止できる。公開時点で、Numbatはシークレットアクセス、権限昇格、データ流出、横方向移動を含む11の行動カテゴリにわたり、52の組み込みルールを備える。

Numbatには、ローカルのトランスクリプトと診断ログを、フォレンジック分析向けの正規化された機械可読タイムラインに変換するセッション成果物レイヤーも含まれる。インストール前に実行されたセッションも対象になる。テレメトリストリームは、対応する実行基盤がすでに送信しているOpenTelemetry（観測データの標準仕様）のシグナルを受けるローカル受信機として動く。データは初期設定で端末内に残り、集中分析へ送る内容は管理者が決める。

同梱ルールはすべて初期設定で監視のみのモードになっており、管理者が明示的にルールを enforcement に昇格させる必要がある。ブロック機能は、事前実行フックをサポートする実行基盤でのみ動作する。残る制約として、パターンベースのルールは新しい行動を見逃す可能性、設定作業が実行基盤ごとに異なる点、迂回により介入点を避けられる可能性、対応エージェントと実行面に依存するカバレッジ、セッション記録にソースコードや機密文脈が含まれうる点が挙げられている。

Numbatは、NvidiaのNeMo Guardrails、4月に公開されたマイクロソフトのAgent Governance Toolkit、ZenityやSentinelOneなどの姿勢管理ベンダーとは異なる、端末レベルのレイヤーに位置づけられる。CISOにとっての主要な論点は、従業員が実際にどの実行基盤を使っているのか、連携マトリクスが認可済みおよび未認可のインストールをカバーしているのか、52のルールのうちどれを監視からブロックへ移すのか、誰がアラートを調査するのかである。