Kiroは Oct 13, 2026 にアップデートをリリースしました。エージェントが実行するシェルコマンドの到達範囲を制限できるサンドボックスと、チャットから保存済みWorkflowを起動する機能が加わっています。本記事では、公式の変更履歴に書かれている内容に沿って解説します。
今回のリリースの全体像
今回のアップデートの主な内容は次のとおりです。
- エージェントが実行するシェルコマンドが触れられる範囲を制限する「ローカルコマンドサンドボックス」
- チャットから保存済みWorkflowを起動する
/workflow-run - エディタタブでのセッション状態のライブ表示
- モデルのフォールバック（代替モデルへの切り替え）に関する説明表示
- MCPツールのオンデマンド読み込み
- Workflow、チャット、アカウントまわりの不具合修正
このうち公式の記載が詳しいのは、コマンドサンドボックスと /workflow-run の2つです。本記事ではこの2つを中心に取り上げます。それ以外の項目は、現時点の資料では詳細な仕様や挙動までは確認できません。
主要な変更点1：ローカルコマンドサンドボックス
概要（初心者向け）
AIエージェントは、開発の過程でターミナルのコマンドを実行します。便利な反面、意図しないファイルへのアクセスや、外部への通信が行われるリスクもゼロではありません。
そこで、コマンドが動ける範囲をあらかじめ囲っておく仕組みがサンドボックスです。
※サンドボックスとは: プログラムの動作範囲を限定された領域に閉じ込め、外部への影響を抑えるセキュリティの仕組み。
できること
ローカルコマンドサンドボックスを有効にすると、エージェントが実行するシェルコマンドと、そこから起動される子プロセスがアクセスできる範囲を制限できます。
あわせて、外部へのネットワークアクセス（アウトバウンド通信）を次の3段階から選べます。
| 設定 | 内容 |
|---|---|
| ブロック | 外向きのネットワークアクセスを遮断する |
| 一般的な開発用ホストに限定 | よく使われる開発向けホストへのアクセスのみ許可する |
| オープン | 制限なく外向きのアクセスを許可する |
さらに、ローカルのstdio方式のMCPサーバーも、同じサンドボックス内で実行できます。
※MCPとは: Model Context Protocol の略。AIエージェントが外部のツールやデータにつながるための共通規格。 ※stdioとは: 標準入出力のこと。ローカルのプロセスとやり取りする方式として、MCPサーバーでよく使われる。
処理の流れ
graph TD
A["エージェントがシェルコマンドを実行"] --> B["コマンドサンドボックス"]
B --> C["アクセス範囲を制限"]
B --> D["ネットワーク設定を適用"]
注意点：サンドボックスの外にあるもの
公式の記載では、次の要素はサンドボックスの外にとどまります。
- エージェント本体
- 組み込みのファイルツール
- リモートのMCPサーバー
エージェントの操作は、これまでどおり権限ルール（Permission rules）で管理されます。また公式は、サンドボックスはリスクを減らすものであり、完全な隔離を保証するものではないと明記しています。提案されたコマンドは、引き続き自分の目で確認することが前提です。
有効化の確認方法
ステータスバーの「Command sandbox」を選ぶと設定が開き、サンドボックスが有効になっているかを確認できます。
活用イメージ
以下は筆者の見解であり、公式の記載ではありません。
- 外部リポジトリのコードを読み込ませて試すときなど、ネットワークをブロックして実行すると、意図しない外部通信のリスクを下げやすいと考えられます。
- 依存パッケージの取得が必要な作業では、一般的な開発用ホストに限定する設定が選択肢になると考えられます。
主要な変更点2：チャットからWorkflowを起動する /workflow-run
概要
Workflowは、あらかじめ保存した手順（レシピ）をもとに作業を進める仕組みです。今回、チャットから直接その実行を始められるようになりました。
使い方
- チャットに
/workflow-runと入力する - 一覧からレシピを選ぶ
- レシピが求める入力項目を埋める
- 実行を開始する
実行を開始すると、Kiroは新しい実行（run）に対応する「Workflows」画面を開きます。
graph LR
A["workflow-run を入力"] --> B["レシピを選択"]
B --> C["入力項目を記入"]
C --> D["実行を開始"]
D --> E["Workflows画面が開く"]
メリット
チャットを離れずに保存済みの手順を呼び出せるため、画面を行き来する手間が減ると考えられます。入力項目を埋めてから開始する形なので、実行前に必要な情報をそろえる流れも自然です。
その他の改善点
公式の記載では、以下の改善も含まれています。ただし、具体的な動作や対象範囲は資料からは確認できません。
- エディタタブでのセッション状態のライブ表示: セッションの状況がタブ上で分かるようになります。
- モデルフォールバックの説明: モデルが代替に切り替わった際の理由が説明される形になります。
- MCPツールのオンデマンド読み込み: 必要になったときにMCPツールを読み込む方式です。
- 不具合修正: Workflow、チャット、アカウントに関する問題が修正されています。
影響と展望
AIエージェントにコマンド実行を任せる場面が増えるほど、実行環境の安全性をどう確保するかが重要になります。今回のコマンドサンドボックスは、権限ルールに加えて実行環境側でも範囲を絞る手段を提供するものです。ネットワークを3段階から選べる点は、作業内容に応じてリスクと利便性のバランスを調整しやすくするものと考えられます。
一方で公式が述べているとおり、完全な隔離を保証するものではありません。エージェント本体やリモートMCPサーバーが対象外である点も踏まえ、コマンドの確認を続ける運用が引き続き必要です。
なお、対応OSや細かな制限事項など、今回の資料に書かれていない点は現時点では公表されていません。導入前に公式ドキュメントで確認することをおすすめします。
まとめ
- Kiroは Oct 13, 2026 に、コマンドサンドボックスと
/workflow-runを含むアップデートをリリースした - サンドボックスはシェルコマンドと子プロセスのアクセス範囲を制限し、ネットワークは「ブロック」「一般的な開発用ホストに限定」「オープン」から選べる
- ローカルのstdio方式MCPサーバーも同じサンドボックスで実行できるが、エージェント本体・組み込みファイルツール・リモートMCPサーバーは対象外
/workflow-runでレシピを選び、入力を埋めて実行を開始すると、新しいrunのWorkflows画面が開く- エディタタブのセッション状態表示、モデルフォールバックの説明、MCPツールのオンデマンド読み込み、各種不具合修正も含まれる
詳細は Kiro公式の変更履歴 をご確認ください。
