HOL Guard：悪意あるMCPとスキルからAIエージェントを守るオープンソース・アンチウイルス

AIエージェントはチャット画面の外へ出つつある。この一年でコーディング支援は、シェルコマンドの直接実行、ローカルファイルの読み書き、依存パッケージの導入、MCPサーバー経由の外部ツール呼び出しまで担うようになった。能力の拡大は素朴で鋭い問いを生む。プロンプトに左右されうるプログラムがユーザーの端末権限を握るとき、誰が門番を務めるのか。hashgraph-onlineが公開するHOL Guardの答えは明快で、「AIエージェントのためのオープンソース・アンチウイルス」という位置づけである。モデルを従順にしようとするのではなく、モデルの行動が実際に起きる直前に、モデルから独立したローカルの層が確認する。この発想は従来のエンドポイント防御の多層構造と同じ系譜にあり、検査の対象が実行ファイルからエージェントの一つ一つの行動に変わっただけである。

HOL Guardの動作は実行前審査と要約できる。対象となる行動はシェルコマンド、ファイルアクセス、パッケージのインストール、MCPツール呼び出しであり、検出するリスクは秘密情報の露出、破壊的操作、プロンプトインジェクション、サプライチェーンのリスクである。そのうえでユーザーが定めたポリシーに従い、許可、ブロック、承認要求のいずれかを選ぶ。公式資料は保護対象を六つの面に整理している。コマンドとファイルアクセス、パッケージ導入、プラグイン・スキル・エージェント設定、MCPサーバーとツール、プロンプトとツール結果、そして承認と証跡である。特に最後の面が重要で、判断のたびにローカルに受領記録が残り、CLIとローカルダッシュボードから履歴を確認できる。セキュリティ判断が一回限りのポップアップから、振り返れる記録へと変わる。事故の調査にもポリシーの調整にも役立つ設計だ。

アーキテクチャはローカルファーストを貫いている。アカウントなしで動作し、接続方法は三つある。各エージェントがネイティブに提供するフック、管理されたMCPプロキシ、そして起動時の統合である。公式ドキュメントは、保護範囲が各エージェントの公開するイベントに依存すると率直に認め、統合ごとの強制力、承認の届け方、失敗時の挙動をサポートマトリクスに記している。この率直さ自体が工学的な美点だ。セキュリティツールが最も危険なのは、ユーザーが全面的に守られていると誤解し、実際にはフックを掛けられないイベントが存在する状態である。プラグイン、スキル、設定については、ローカルの成果物を棚卸しし、新規または変更されたツールを起動前に審査する。近年相次ぐ悪意あるスキルや汚染されたMCPサーバーを直接の標的にした機能である。

導入の敷居は低い。必要なのはPython 3.10以上とpipxで、pipx install hol-guardの後にhol-guard initを実行する。初回ウィザードは端末上の対応エージェントを検出し、ダッシュボードを開く、エージェント統合を入れる、任意のクラウドに接続するといった変更のたびに確認を求める。対応エージェントはCodex、Claude Code、GitHub Copilot CLI、Cursor、Cline、Gemini CLI、Grok、Hermes、Kimi Code、Pi、OpenClaw、OpenCode、Antigravity、Devinなど幅広く、Paseoはこれらのネイティブなプロバイダ経由で支援される。チーム向けには任意のGuard Cloudがあり、共有履歴、チームポリシー、フリート管理を提供する。同じリポジトリのplugin-scannerは、拡張機能そのものをインストール前に検査する。

評価にあたり、限界も明記しておきたい。第一に、アンチウイルスという比喩は伝わりやすさのための便宜であり、技術的な等価物ではない。従来のアンチウイルスはシグネチャと挙動監視に頼るが、エージェントのリスクは意味の層で生じる。プロンプトインジェクションの判定は本質的に確率的で、見逃しをゼロにはできない。第二に、フックの対応範囲が能力の上限であり、エージェントが公開しないイベントはGuardからも見えない。第三に、承認は疲労を生む。ポリシーが緩ければ形骸化し、厳しすぎれば無効化される。第四に、サプライチェーン判定は外部インテリジェンスの質と鮮度に左右される。これらは欠陥ではなく、同種のあらゆるツールが直面する制約であり、問われるのはそれを文書で正直に示しているかどうかだ。公開情報を見る限り、このプロジェクトはそれを実践しており、Apache-2.0ライセンス、継続的インテグレーション、コンテナイメージ、OpenSSF Scorecardバッジといった堅実な工学的シグナルも備えている。

読者への実務的な助言は、これを多層防御の一層として扱うことである。個人の開発者はまず最もよく使うエージェント一つで有効にし、一週間ほどブロック記録を観察してから、ポリシーを段階的に引き締めるとよい。チームでは秘密情報の分離、最小権限、サンドボックスを維持したまま、Guardに行動前の監査可能な関門を担わせる。長期的には、エージェントのセキュリティはモデルの整合性の話題から、OSに近い権限と監査の問題へ移りつつある。HOL Guardの価値は、その移行を今日インストールでき、明日ログを振り返れる具体的な道具にした点にある。抽象的な呼びかけよりも、はるかに実装に近い安全策である。