Perplexityがエージェント監視をOSS公開。52ルールで実行前に割り込む

エージェントに任せる作業が増えるほど、実行される行動そのものを見張る仕組みが要ります。Numbatは、その監視をエージェントが動く端末側で担うオープンソースのセキュリティスイートです。

📖 この記事で分かること

• Numbatが何を監視し、何を止められるのか
• 3つの取り込み経路と、事前準備なしで試せる入口
• ブロックを既定オフにした設計判断の意味
• 対応が明記されているエージェントハーネス

💡 知っておきたい用語

• エージェントハーネス: AIエージェントを実際に動かす土台となるソフト。Claude CodeやCodexのように、モデルにファイル操作やコマンド実行の手足を与える器のこと。
• プレアクションフック: エージェントが次の行動を実行する直前に割り込む仕組み。実行前の「これをやっていいか」の関所にあたる。

最終更新日: 2026年7月30日

▶ 公式ページ

• Securing Agents Across Perplexity’s Client Endpoints with Numbat(Perplexity Research)
• perplexityai/numbat(GitHub)

Perplexityが公開した「Numbat」の中身

Perplexityは2026年7月29日、AIエージェントの危険な挙動を端末側で検知・防止・事後調査するセキュリティスイート「Numbat」をオープンソースで公開しました。

この記事のポイント

• Perplexityが2026年7月29日、エージェント監視ツール「Numbat」をApache License 2.0で公開しました。
• 検知ルールは公式発表時点で52個・11の挙動カテゴリ(2026年7月時点)。ブロックは既定でオフです。
• 事前の仕込みなしで、端末に残るセッション記録を読み取るだけの事後スキャンから試せます。

対象はクライアント端末そのものです。macOS / Linux / Windows(amd64とarm64)で動く単一バイナリとして提供され、ライセンスはApache License 2.0。導入はリリース配布物のダウンロードか、go install github.com/perplexityai/numbat/cmd/numbat@latest(Go 1.26.5以上)で行います。

ここが従来のアプローチとの分かれ目です。これまでエージェント関連のセキュリティツールは、生成されたコードを読んで脆弱性を探す静的な方向に寄っていました。Numbatが置いた監視点は、コードではなく端末とハーネスの境界です。エージェントは開発者の手元で認証情報を読み、shellを起動し、ネットワークに出ていきます。その行動そのものを実行時に見る、という設計になっています。

3つの取り込み経路と52の検知ルール

Numbatがエージェントの活動を把握する経路は3つあります。

• プレアクションフック: エージェントが次の行動を実行する前に割り込む。唯一、実際にブロックできる経路です。
• セッション成果物の読み取り解析: 端末に残るログやトランスクリプトを読み取り専用でスキャンします。
• OTLP【オーティーエルピー】レシーバ: numbat collect コマンドでテレメトリを受け取ります。

2番目の経路は、公式に「事前にnumbatを仕込んでいなくても」ディスク上のセッション成果物から検知できると説明されています。すでに動かしてしまったエージェントの活動を後から洗える一方、限界も明記されており、エージェントが保存しなかった活動は復元できません。

検知ルールは公式発表時点で52個(2026年7月時点)。Secrets / Exfiltration / Integrity / Execution / Reconnaissance / Privilege / Lateral movement / Impact / Source control / Tampering / Persistence の11カテゴリに加え、複数の手順にまたがるシーケンス検知が用意されています。ルールはリポジトリ側で更新が続くため、最新の一覧はリポジトリのルールカタログが正になります。

具体例を挙げると、secrets.read_private_key はSSH【エスエスエイチ】秘密鍵やAWS認証情報、kubeconfigの読み取りを拾います。exfil.curl_post_file は認証情報やブラウザセッションのファイルがcurlのデータ送信で参照される動きを、privilege.elevated_shell はsudoやpkexecによるrootシェル要求を検知します。エージェント運用で実際に怖い動きが素直に並んでいる印象です。

ブロックは既定オフ。止めない方に倒した設計

Numbatで注目したいのは、検知の広さより抑制の効かせ方です。公式ドキュメントは「Blocking is off by default and limited to supported synchronous pre-action hooks.」と明記しています。ブロックは既定でオフで、しかも同期プレアクションフックが使えるエージェントに限られます。

ルールカタログにも同じ慎重さが表れています。ルールは検知用に有効化されているが既定ではブロックしない、そしてプレアクションフックの一致は「要求された行動」を示すものであって確定した結果ではない、という但し書きが置かれています。検知したから止める、という直結を避けた書き方です。

フック連携の記載があるのはCodex、Claude Code、OpenClawです。なお公式発表の中でPerplexity社内の利用対象として挙がっているのはClaude Code、Codex、OpenCode、Piで、こちらはリポジトリのフック対応リストとは別のリストになります。

プライバシー面の既定も抑制的です。テレメトリは端末内に留まり、記録は標準出力かローカルファイルに書かれ、運用者が明示的に設定したHTTP sinkにのみ送信されます。成果物の中に見つかったエージェントやコマンドを実行することは決してない、とも明記されています。なお性能オーバーヘッドの数値は公式に記載がなく、現時点では不明です。

編集部の見方

編集部は、Numbatの本質は検知ルールの数ではなく、監視点を端末とハーネスの境界に置いたことだと見ています。

• 根拠1: 3経路のうち読み取り専用の事後スキャンは事前の計装を必要としません。エージェントを既に日常的に動かしている環境でも、後から可視化に着手できます。
• 根拠2: ブロックが既定オフで同期フック限定、さらに「一致は要求された行動であって確定した結果ではない」という但し書きまで置かれています。過剰検知でエージェントを止めない方に倒した判断が一貫しています。
• 根拠3: Apache License 2.0の単一バイナリで、テレメトリの既定が端末内。検証する側が中身を確認しやすい形になっています。

エージェントを日々動かしている読者にとって現実的な入口は、フックの導入ではなく読み取り専用の事後スキャンです。既存の運用に手を入れずに、自分の端末でエージェントが何に触れていたかを一度棚卸しできます。

この見方が変わる条件は、性能オーバーヘッドです。公式に数値の記載がないため、常時フックの負荷が実運用で無視できない水準だと分かれば、評価の重心は導入しやすさから運用コストへ移ります。

よくある質問

Q: 導入するとエージェントの動作が勝手に止まりますか?

A: 既定では止まりません。ブロックは既定でオフで、有効にした場合も対応する同期プレアクションフックがあるエージェントに限られます。

Q: すでに動かしているエージェントの過去の活動も調べられますか?

A: 端末に残っているセッション成果物の範囲であれば、事前にNumbatを入れていなくても読み取り専用スキャンで検知できます。ただしエージェントが保存しなかった活動は復元できません。

Q: 収集した記録は外部に送信されますか?

A: 既定では端末内に留まります。標準出力かローカルファイルに書かれ、運用者が設定したHTTP sinkにのみ任意で送信されます。

まとめ

Perplexityが公開したNumbatは、エージェントのセキュリティ対策をコードの静的な検査から、端末で実行される行動の監視へ広げるツールです。公式発表時点で52個のルールを11カテゴリに整理する一方、ブロックは既定オフで同期フック対応のエージェントに限定されています。事前の計装なしで既存のセッション記録を検査できるため、エージェントを運用中の環境でも可視化から着手できます。性能オーバーヘッドは公式未記載で、実運用での負荷は今後の判断材料になります。

同時期に公開された、コーディングエージェント向けのOSSセキュリティツールは以下の記事で詳しく解説しています:

【用語解説】

• 事後再構成: 事前に監視ツールを入れていなくても、端末に残った記録を読み取って何が起きたかを組み立て直すこと。防犯カメラではなく、後から足跡をたどるイメージ。
• OTLP: テレメトリ(動作記録や計測データ)をやり取りするための共通の受け渡し形式。監視ツール同士をつなぐ配管の規格にあたる。
• 横展開: 侵入した先から、同じネットワーク内の別のマシンやコンテナへ活動を広げること。Numbatでは lateral movement のカテゴリで扱われる。

引用元:

• [1] Securing Agents Across Perplexity’s Client Endpoints with Numbat(Perplexity Research)
• [2] perplexityai/numbat(GitHub)
• [3] Built-in rule catalog(GitHub)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。