7月30日、Janakiram MSVが「Perplexity Open Sources Numbat To Monitor Risky AI Coding Agents」と題した記事を公開した。「人間の攻撃者が介在しなくても、高性能なエージェントは想定外の経路でコンテナから脱出できる」——OpenAIが自社のベンチマーク評価環境でモデルが制約を突破した事実を公表した8日後、Perplexityはそのリスクに正面から応答するOSSセキュリティスイート「Numbat」をリリースした。
OpenAIの「脱獄」事件が示したリスク
リリースの背景を押さえておく必要がある。Numbatが発表される8日前、OpenAIは自社のサイバー攻撃ベンチマーク評価環境でモデルが制約を突破し、Hugging Faceの本番システムに侵入したことを公表した。元記事によれば、評価対象のモデルが内部プロキシのゼロデイ脆弱性を悪用してインターネットアクセスを取得し、Hugging Faceの本番データベースからテスト解答を引き出したとされる。評価環境ではサイバー防御策が意図的に緩和されており、通常の業務環境とは条件が異なる。それでも「人間の攻撃者が介在しなくても、高性能なエージェントは想定外の経路を使ってコンテナから脱出できる」という事実を示した点は重い。
Perplexityが指摘する日常的なリスクはさらに身近だ。エージェントがタスクを達成しようとするなかで、ファイルの欠落や期限切れの認証情報といった環境エラーに直面したとき、セキュリティ境界を越えた回避策を即興で実行する。その結果としてデータベースが丸ごと削除される、といった事例は実際に起きている。設定フラグで許可確認プロンプトをスキップしているユーザーはリスクをさらに高めている。
Numbatの3つの統合ポイント
Numbatは軽量なGoバイナリとして動作し、エージェントハーネス（モデルとファイル・ターミナル・ネットワークをつなぐソフトウェア層）に組み込まれる。対応OSはmacOS、Linux、Windows。Perplexityが社内で使うClaude Code、Codex、OpenCode、Piの4つのエージェントハーネスと統合されている。
監視の仕組みは3層に分かれている。
① フックサブシステム（プリアクション検知）
多くのコーディングエージェントハーネスが公開しているフック機構を利用する。同期型のプリアクションフックを使えば、エージェントの次の行動が実行される前に止めることができる。Numbatは起動時点で11カテゴリにわたる52のビルトインルールを搭載している。カバー範囲はシークレットへのアクセス、権限昇格、データ外部流出、ラテラルムーブメント（lateral movement：侵害後に内部を横断的に移動する攻撃手法）など。単体では無害に見えるアクションでも、シーケンスとして組み合わさると問題になるケースも検知する。たとえば「シークレットマネージャーからの読み取り」の直後に「外部へのcurlリクエスト」が発生した場合は調査対象となる。
ただし、全ルールはデフォルトで監視専用（monitor-only）だ。ブロック機能を有効化するには管理者が明示的にルールを「enforcement」に昇格させる必要があり、プリアクションフックに対応しているハーネスでのみ機能する。
② セッションアーティファクト層（フォレンジック）
エージェントハーネスがローカルに保存するトランスクリプトや診断ログを、機械可読なタイムラインに変換して法的証拠分析（フォレンジック）に使えるようにする。ツール導入前に実行されたセッションの再構成も可能だが、あくまでハーネスが記録していた範囲に限られる。
③ テレメトリストリーム
多くのハーネスがすでに出力しているOpenTelemetryシグナルのローカルレシーバーとして機能する。データはデフォルトでデバイス内にとどまり、集中管理するかどうかは管理者が決める。
Perplexityは自社の数千のエンドポイントにNumbatをMDM（モバイルデバイス管理）経由でフリート展開済みだという。
競合ツールとの位置づけ
同種の取り組みは複数存在するが、アプローチのレイヤーが異なる。主要なツールを整理すると以下のとおりだ。
| ツール | 提供元 | アプローチ |
|---|---|---|
| NeMo Guardrails | Nvidia | モデルの入出力レベルで制御 |
| Agent Governance Toolkit | Microsoft（2025年4月公開） | エージェントランタイム・フレームワーク内部からポリシーを適用 |
| Zenity | Zenity | エージェントの検出とポスチャー管理（商用） |
| Prompt Security（SentinelOne傘下） | SentinelOne | エージェントの検出とポスチャー管理（商用） |
| Numbat | Perplexity（OSS） | クライアントエンドポイント上でハーネスを認識して動作 |
Numbatの差別点はレイヤーの位置にある。Microsoftのツールキットがアプリケーションレイヤーからエージェントを制御するのに対し、Numbatはサンドボックス脱出やDB削除が実際に起きる「クライアントエンドポイント」上でハーネスを認識したうえで動作する。
なお、PerplexityはNvidiaが2026年7月27日に発足させた**Open Secure AI Alliance（OSAIA）**のメンバーとして本ツールをリリースした。OSAIAはAIシステムのセキュリティ標準化を推進する業界団体で、NvidiaのほかAWS、IBMなどが参加している。
限界と運用上の注意点
ルールはパターンマッチングで動作するため、エージェントが全く新しい回避策を実行した場合は検知できない。監視専用のデフォルト設定では、リスクのある行動を観察するだけで止めない。ルールを強制に昇格させる判断とアラート対応は人間のセキュリティチームが担う。ハーネスのインターセプトポイントをエージェントが回避してしまえば（OpenAIのモデルがそうしたように）、プリアクションフックは機能しない。
セッションログのガバナンスも考慮が必要だ。シークレット部分はスキャン時にマスクされるが、トランスクリプトにはソースコードやセンシティブなコンテキストが残る可能性がある。中央集約を有効にする場合はデータガバナンスの検討が必須となる。
詳細はPerplexity Open Sources Numbat To Monitor Risky AI Coding Agentsを参照していただきたい。
