Bash AST解析ツール「Vetol」を発表：AIエージェントのコマンド実行制御に革命
本記事は、Coding AgentなどのAIエージェントが実行するコマンドを、より高度かつ正確に検査するための新しいツール「Vetol」の開発について報告している。従来のPreToolUse Hookや単純な正規表現によるコマンドチェックでは、`git push -uf origin main`のような複雑な構文や、パイプ（`|`）、論理演算子（`&&`, `||`）を用いたバイパス攻撃に対して脆弱であったという。
Vetolは、この問題を解決するため、Bashの抽象構文木（AST: Abstract Syntax Tree）を解析する仕組みを採用した。これにより、単なる文字列マッチングでは見逃されがちな、コマンド置換や論理演算子の内部に隠された真の実行コマンド群を正確に抽出できる。
例えば、「`echo unc ls && rm -rf / || echo $(git push -f origin main)`」のような複雑なコマンドから、Vetolは「`ls`」「`rm -rf /`」「`git push -f origin main`」といった個々の潜在的な実行コマンドを分離し、それぞれに対して許可・拒否の判断を下すことができる。
ルール設定はJSON形式で行い、「allowlist（許可リスト）」モードと「denylist（拒否リスト）」モードの2種類が用意されている。特に、`include`や`exclude`フィールドを用いることで、単にコマンド名だけでなく、特定のフラグ（例：`cp`コマンドにおける`-n`フラグ）や引数の有無に基づいて、より粒度の高い制御が可能となる。
CLIでの実行により、対象のコマンドが許可されていれば「ALLOW」、拒否されていれば「DENY」が出力される。開発者は、このツールをClaude CodeなどのAIエージェントのPreToolUseフックから呼び出す具体的な実装例も示しており、これによりAIによるシステム操作におけるセキュリティレベルの大幅な向上を目指している。
背景
近年、AIエージェント（Coding Agentなど）が実際のシステム上でコマンドを実行する機会が増加した。これに伴い、悪意のあるまたは誤ったコマンド実行を防ぐための「権限制御」の必要性が高まった。従来の制御方法は単純な文字列マッチングに依存しており、複雑なBash構文によるバイパスが容易であったため、より堅牢な解析手法が必要とされていた。
重要用語解説
- 抽象構文木（AST）: プログラミング言語やスクリプトの構造をツリー形式で表現したデータ構造。Vetolはこれを利用し、コマンド文字列を単なるテキストではなく、実行可能な要素に分解して分析する。
- PreToolUse Hook: AIエージェントが外部ツール（コマンド）を使用する直前に介入し、その使用を許可するか拒否するかを判断するための仕組み。セキュリティ制御の主要なポイントとなる。
- allowlist/denylist: システムアクセス制御の二つのモード。allowlistは「許可されたものだけを許す」方式、denylistは「禁止されたものだけを禁じる」方式で、それぞれ異なるセキュリティ強度を持つ。
今後の影響
VetolのようなASTベースのコマンド検査ツールが普及することで、AIエージェントによるシステム操作の信頼性と安全性が飛躍的に向上する。これにより、企業や組織におけるAI導入時のリスク管理体制が強化され、より高度な自動化プロセスが可能になると予想される。今後の展開としては、さらなる言語サポートや動的環境への適用拡大が期待される。