Kiroは Oct 13, 2026 にアップデートをリリースしました。V3の全ユーザーがローカルコマンドサンドボックスとローカル自律モードを使えるようになり、MCPツールのオンデマンド読み込みやKIRO_HOMEの対象拡大も加わっています。AIにコマンド実行を任せる際の安全性と使い勝手に関わる更新です。
今回のリリースの全体像
今回のアップデートの主な内容は次のとおりです。
- ローカルコマンドサンドボックスをV3の全ユーザーに提供
- ローカル自律モード（autonomous mode）をV3の全ユーザーに提供
- MCPツールをオンデマンドで読み込む仕組み
- V3の設定と状態をKIRO_HOME配下に置けるよう対象を拡張
- 画像、サービス、MCP、クラウドセッション、サインインに関する不具合の修正
※MCPとは: Model Context Protocolの略。AIエージェントが外部のツールやデータにつながるための共通の仕組みです。
主要な変更点
ローカルコマンドサンドボックス（/sandbox）
「/sandbox」を実行すると、エージェントが実行するシェルコマンドとその子プロセスを、OS（オペレーティングシステム）のサンドボックス内に置けます。
※サンドボックスとは: プログラムの動作範囲を制限した隔離環境のこと。万一おかしなコマンドが実行されても、影響が及ぶ範囲を狭められます。
初心者の方は「AIが実行するコマンドに柵をつける機能」と考えると分かりやすいでしょう。
外部への通信（アウトバウンドネットワークアクセス）の扱いは、次の3つから選べます。
| ネットワーク設定 | 内容 |
|---|---|
| ブロック | 外向きの通信を遮断 |
| 一般的な開発用ホストのみ | 一般的な開発用ホストに限定して許可 |
| オープン | 制限なしで通信を許可 |
ローカルのstdio方式のMCPサーバーも、同じサンドボックス内で動かせます。
※stdioとは: 標準入出力を使ってプログラム同士がやり取りする方式。ローカルで起動するMCPサーバーでよく使われます。
サンドボックスの内と外
graph LR
A["Kiro エージェント"] --> B["シェルコマンドと子プロセス"]
B --> C["OSサンドボックス内"]
A --> D["ファイルツールとリモートMCP"]
D --> E["サンドボックス外"]
図のとおり、エージェント本体、組み込みのファイルツール、リモートMCPサーバーはサンドボックスの外にあります。権限ルール（パーミッション）も引き続き、エージェントの操作を管理します。
公式は、サンドボックスはリスクを減らすものであり、完全な隔離を保証するものではないと明記しています。そのため、提案されたコマンドは引き続き自分の目で確認することが大切です。
ローカル自律モード（/autonomous on）
ローカルのV3セッションで「/autonomous on」を実行すると、シェルコマンドを1つずつ承認しなくても、Kiroがタスクを進めてくれます。
有効化の際、Kiroは先にDefaultエージェントへ切り替え、ローカルコマンドサンドボックスをオンにします。承認の手間が減る代わりに、サンドボックスで実行範囲を制限する設計と読み取れます。
graph TD
A["autonomous on を実行"] --> B["Defaultエージェントへ切替"]
B --> C["ローカルサンドボックスを有効化"]
C --> D["承認なしでシェルコマンドを実行"]
活用例として、テストの実行や依存関係の確認など、コマンドを何度も実行する作業を任せたい場面が考えられます。ただし、具体的な動作の詳細は素材からは確認できないため、公式の「Learn more」ページを確認してください。
MCPツールのオンデマンド読み込み
MCPツールを必要なときに読み込む方式になりました。素材には内部の仕組みや効果の数値は書かれていません。一般に、使わないツールを最初から読み込まなければ、エージェントが扱う情報が整理されやすいと考えられますが、これは見解であり、具体的な効果は現時点では公表されていません。
KIRO_HOMEの対象拡大
V3の設定と状態を、環境変数KIRO_HOMEの配下で管理できる範囲が広がりました。
※環境変数とは: OSやアプリの動作を制御するための設定値。保存先ディレクトリの指定などに使われます。
設定の置き場所を一か所にまとめやすくなるため、環境を整理したいエンジニアには扱いやすい変更でしょう。
不具合の修正
画像、サービス、MCP、クラウドセッション、サインインに関する問題が修正されています。個々の修正内容の詳細は、資料からは確認できません。
影響と展望
AIエージェントが自らコマンドを実行する場面が増えるなか、「承認の手間を減らすこと」と「安全性を保つこと」の両立が課題になっています。今回、自律モードの有効化時にサンドボックスを先にオンにする設計が採られたことは、この両立を意識した動きだと考えられます。
また、ネットワークを3段階で選べる点は、作業内容に応じて制限の強さを調整できる点で実用的です。一方で、公式が述べるとおり完全な隔離ではないため、権限ルールの設定とコマンドの確認を併用する運用が前提になります。
今後は、対応するOSや細かな挙動などの情報が公式ドキュメントで充実していくことが期待されます。詳細は公式チェンジログをご確認ください。
まとめ
- Oct 13, 2026のリリースで、ローカルコマンドサンドボックスとローカル自律モードが全V3ユーザーに開放された
- 「/sandbox」でシェルコマンドと子プロセスをOSサンドボックス内に置け、ネットワークはブロック、一般的な開発用ホストのみ、オープンから選べる
- 「/autonomous on」はDefaultエージェントへ切り替えてサンドボックスを有効にしたうえで、コマンドごとの承認なしで作業を進める
- MCPツールのオンデマンド読み込みとKIRO_HOMEの対象拡大が加わり、複数の不具合も修正された
- サンドボックスは完全な隔離を保証しないため、提案コマンドの確認は引き続き必要
