Kiroは2026年10月20日（Oct 20, 2026）に、Kiro CLIのインタラクティブV3セッション向けに「ワークスペース信頼」機能を追加しました。クローンしたリポジトリが、あなたの許可なくエージェントの挙動を変えられなくなる重要なセキュリティ更新です。あわせて、モデルフォールバックの設定もV3セッションで再び使えるようになりました。
ワークスペース信頼とは？フォルダを信頼するまで設定を読み込まない仕組み
概要（初心者向け）
インターネットからクローンしたリポジトリには、AIエージェントの動作を左右する設定ファイルが含まれていることがあります。もし何も確認せずにそれらを読み込むと、見知らぬ人が用意した設定でエージェントが動いてしまうおそれがあります。
今回のリリースでは、V3のインタラクティブセッションを初めて開始したフォルダで、Kiro CLIが 「Trust this workspace?」 という画面を表示します。ここで答えるまで、そのフォルダの設定は読み込まれません。
公式の説明では、この仕組みにより「クローンしたリポジトリは、あなたが許可するまでエージェントの挙動を変更できない」とされています。
読み込みが保留される対象
信頼の確認が済むまで読み込まれないのは、次の6種類です。
- hooks：特定のタイミングで自動実行される処理
- agents：エージェントの定義
- MCP servers：外部ツールやデータ源とつなぐ仕組み ※MCP（Model Context Protocol）とは: AIエージェントが外部ツールやデータと連携するための共通規格
- steering：エージェントへの指示やルールを与える設定
- workflows：作業手順の定義
- language server configuration：コード補完や解析を担う言語サーバーの設定
いずれもエージェントの動作や、動作時に呼び出される外部機能に関わるものです。そのため、信頼できないフォルダでは自動で読み込まない設計が意味を持ちます。
画面での選択肢
確認画面には2つの選択肢があります。
- Trust, continue：フォルダを信頼して続行する
- Don't trust, exit：信頼せずに終了する
動作の流れ
graph TD
A["V3セッションを開始"] --> B["信頼確認画面を表示"]
B --> C["Trust, continue"]
B --> D["Don't trust, exit"]
C --> E["hooksやMCPなどを読み込み"]
「Don't trust, exit」を選ぶとセッションは終了し、そのフォルダの設定は読み込まれません。
回答の保存場所と変更方法
Kiroは回答をワークスペースのルートごとに ~/.kiro/workspace-roots/ 配下へ保存します。そのため、確認画面が出るのはフォルダごとに一度だけです。
回答を変えたい場合は、確認画面が示すワークスペース別のファイルから workspaceTrusted を削除します。
ホームディレクトリは例外
ホームディレクトリに対する信頼は保存されません。そのため、ホームディレクトリで起動するたびに確認画面が表示されます。ホーム直下は範囲が広いので、毎回確認する設計になっていると考えられます。ただし、この理由は素材には明記されておらず、あくまで筆者の推測です。
変更点の整理
| 項目 | これまで | 今回のリリース後（V3インタラクティブ） |
|---|---|---|
| フォルダの設定の読み込み | 資料からは確認できない | 信頼を選択するまで読み込まない |
| 確認画面 | 資料からは確認できない | 初回起動時に「Trust this workspace?」を表示 |
| 回答の保存 | 該当なし | ワークスペースルートごとに保存 |
| ホームディレクトリ | 該当なし | 保存されず、起動のたびに確認 |
「これまで」の挙動は素材に記載がないため、断定を避けています。
活用例とメリット
- GitHubなどから初めてクローンしたリポジトリを開くとき、中身を確認してから信頼するかどうかを決められる
- 自分のプロジェクトは一度信頼すれば、以降は確認なしで同じ設定を使える
- 設定ファイルを通じて意図しない動作が混入するリスクを、入口で抑えられる
モデルフォールバック設定がV3セッションで復活
概要
もう一つの変更は、V3セッションで再びモデルフォールバックを設定できるようになったことです。/model の設定ペインと /model fallback コマンドが、エージェントが対応している場合にフォールバック設定を保存します。
※モデルフォールバックとは: 一般に、メインで使うモデルの代わりとして、あらかじめ指定しておく予備のモデルを使う考え方です。具体的にどの条件で切り替わるかは、今回の資料からは確認できません。
保存と適用の範囲
保存した選択は現在のセッションに適用され、以降のセッションにも引き継がれます。設定後は /model を開いて、フォールバックの選択内容を確認するよう案内されています。
使い方の流れ
graph LR
A["model を開く"] --> B["フォールバックを選択"]
B --> C["設定を保存"]
C --> D["次回以降も適用"]
ポイント
- 設定が保存されるのは、エージェントが対応している場合に限られる
- 設定画面とコマンドの両方から操作できる
- 設定後は
/modelで内容を確認しておくと安心
対応するエージェントの一覧や、フォールバックの具体的な切り替え条件は、現時点では公表されていません。
影響と展望
AIエージェントが、フォルダ内の設定ファイルを通じて外部ツールの呼び出しや自動処理を行う場面は増えています。こうした環境では、開発者が確認していない設定を既定で読み込まないという考え方は、安全に使うための基本的な対策になると考えられます。
ワークスペース信頼は、エディタ系ツールなどで見られる同種の仕組みと発想が近いものです。CLIのエージェントでも、同様の確認が標準になっていく可能性があります。ただし、これは筆者の見解であり、Kiroの今後の予定として公表されているものではありません。
一方で、既存のプロジェクトで初回起動時に確認画面が出るようになるため、チームで運用する場合は、信頼の判断基準や手順を共有しておくとスムーズだと考えられます。
詳細は公式チェンジログで確認できます。
まとめ
- Kiro CLIのインタラクティブV3セッションに、ワークスペース信頼が追加された（Oct 20, 2026）
- 信頼するまで、hooks、agents、MCP servers、steering、workflows、language server configurationは読み込まれない
- 回答はワークスペースルートごとに
~/.kiro/workspace-roots/へ保存される。ホームディレクトリの信頼は保存されず、起動のたびに確認される - 回答を変えるには、ワークスペース別ファイルから
workspaceTrustedを削除する - V3セッションでモデルフォールバックの設定が復活し、
/modelで保存内容を確認できる
