agent-vm の変更と検証

初期化と転送を測る

1. time agent-vm prewarm で全体時間を測り、ホストで VM の出力行に時刻を付けて machine 作成・cloud-init・dotfiles 適用を分ける。mise が遅い場合だけツール別に測る。CPU 構成も記録する。別のアーキテクチャでは prebuilt がなくソースビルドになる場合がある。
2. 導入ツールの削減、download cache、準備済み machine の複製、prewarm を同じ条件で比較する。prewarm は処理を前倒しするので準備時間も含める。複製ではベースを作り直す条件も決める。
3. 同じ dotfiles を VM フラグで分岐する。apt の追加はホストの宣言と VM bootstrap の固定リストを照合し、VM のリストがホストの部分集合であることを検査する。片方だけの追加では導入か整合性検査が失敗する。
4. loopback bind もホストへ転送される前提で、proxy とアプリのポート、IPv4・IPv6、先着 bind、別 machine の衝突を実環境で試す。ホストからの応答と対象 VM 内の応答を比較する。割り当て一覧同士の一致では転送先の乗っ取りを検出できない。HTTP の Host ヘッダはブラウザと同じくポートを付ける。
5. prewarm の枠消費、枠切れ、以前のポートが state に残る場合、同一 machine の複数セッション、並行起動を試す。転送先の変更通知は通常起動と prewarm の両方で確認する。ホストでの bind も、VM が先に転送を確保した場合は失敗しうる。

ホストとの信頼境界を保つ

• 分離はホストが強制する isolated machine で確認する。通常の machine は広いホスト共有領域とホストのコマンド実行を使える。read-only mount が使えない場合は原本を共有せず、ホストから同期する交換可能な staging コピーだけを共有する。guest 内の制限をホストの強制と同一視しない。
• 資格情報は用途とリポジトリを絞り、必要な値だけホストで解決して渡す。長期の共通資格情報は、1 台の侵害で全リポジトリへ被害が広がる。
• VM が書ける repo、staging、outbox、保存設定は未検証の入力として扱う。パスの事前検査だけに頼らず実際に読んだ内容を検証する。共有先への書き込みは相手が書けない場所で作り、同一ファイルシステムの atomic rename で置換して symlink 競合を避ける。
• ログは既存部分の先頭一致を確かめてから差分だけ追記する。mtime は時計ずれ、rsync --append は既存部分の改ざんを検出できない。設定の復元では、保存値を信用して戻す処理と危険な実行設定を削除する処理を分ける。
• .git/hooks、.git/config の実行系設定、Claude の settings hooks を検査する。後でホストが読むだけでコード実行につながるため、VM の出力を検査用 inbox に留める案も検討する。bootstrap の承認・sandbox 迂回とセッション終了後の実行も、権限昇格とは別に評価する。