AI とサーバのあいだに立つ AI ファイアウォール
AI ハーネスが有用なのは、実際に操作できるからです。FrontierStack はハーネスと対象マシンのあいだに立ちます。アシスタントはサービスの再起動・ログの確認・サイトの修復を行えますが、認証情報を保持することはなく、任意の操作を実行することもできません。
なぜこの位置に層を置くのか
高性能なモデルをサーバに直結すれば、SSH 鍵と判断の両方を一度に委ねることになります。一般的な対処は「何も渡さない」（価値の大半を失う）か「すべて渡して祈る」かです。FrontierStack は第三の道を取ります。ハーネスは依頼でき、認証情報・コード・最終判断は利用者の Mac に残ります。
何を強制するか
認証情報は AI に渡さない
ハーネスは結果だけを要求します（「MAGI の Apache を再起動して」）。FrontierStack は SSH 鍵・sudo パスワード・API トークンをローカルで実行時に解決し、結果だけを返します。保存された秘密情報を外部の呼び出し元に渡すツールは、どの権限レベルにも存在しません。
単一のオン／オフではなく能力クラス
変更を伴う操作はすべて分類されます（サービス制御／インフラ変更／秘密情報／シェル／自己管理）。状態の参照は制限されず、認証情報の読み取りは常に拒否されます。未分類の操作は最も厳しいクラスとして拒否され、分類漏れがあればテストがビルドを止めます。
外部ツールが決して到達できない 3 クラス
認証情報・任意のシェル・FrontierStack 自身の設定は、「すべて許可」を含むあらゆるレベルで外部の呼び出し元に拒否されます。クリックで通過できる確認ではなく、拒否です。自己管理を含めるのは、自らの制限を広げられる呼び出し元には制限がないからです。
実行前に本当の操作を確認
マシンを変更する操作はすべて承認カードを表示し、呼び出し元と実際に起きること（要約ではなく実際のスクリプト）を示します。外部からの要求はタイムアウト時に拒否されます。誰も応答しなければ何も実行されません。
スクリプトは受け取らず、こちらで書く
外部ハーネスは実行するコードを送信できません。必要な結果を説明すると、FrontierStack のローカルモデルがスクリプトを書き、利用者が承認します。呼び出し元から届いたコードはサニタイズせず拒否します。他者のスクリプトを承認することは、チェック通過後にそれが行う全てを承認することだからです。
認証情報の探索は二重に遮断
鍵やパスワードを探す要求は、何かを書く前に拒否されます。既知の鍵形式（Anthropic・OpenAI・AWS・GitHub・GitLab・Slack・Google の認証情報や秘密鍵ブロック）を検索するスクリプトは、対象パスに関わらず遮断されます。鍵の探索は、どこを見ていても鍵の探索だからです。認証情報そのものであるファイル（.env、.netrc、.pgpass、wp-config.php、SSH 秘密鍵）の読み取りも同様です。ファイル名の一覧は許可し、中身の出力は許可しません。
暗号資産の鍵はより厳格に
漏えいした API キーは失効できますが、ウォレット鍵やシードフレーズは失効できません。資産が失われるだけです。そのためウォレットファイル（Bitcoin・Electrum・Ethereum の keystore・Monero・MetaMask・ハードウェアウォレットのデータ）、シード／リカバリーフレーズ、拡張秘密鍵、WIF 鍵は、特定の言い回しを待たず名詞だけで拒否し、クラウドモデルへ送る内容からも除去します。ノードの稼働確認やチェーンのディスク使用量の確認は通常どおり行えます。
送信時に秘密情報を除去
クラウドモデルや外部ツールに返るものはすべて除去されます。保存済みの値は完全一致で、鍵の形をした文字列はパターンで（API キー、クラウドアクセスキー、ソース管理・チャットのトークン、OAuth シークレット、JWT、PEM 秘密鍵ブロック）。通常のコードとして動作するため、ローカルモデルの有無に関わらず保護されます。
すべての操作に責任者を記録
各要求はどのハーネス／クライアントが依頼したかを記録するため、変更を後から追跡できます。MCP クライアント・ショートカット・アプリ内アシスタントが取り違えられることはありません。
既にお使いのハーネスで動作
FrontierStack は Model Context Protocol でツールを公開するため、Claude Desktop・Claude Code・Cursor・Codex・Gemini CLI や独自エージェントから利用できます。上記の保護はすべてに同一に適用されます。クライアントごとの設定ではなく、アプリ内の単一地点で強制されるためです。MCP を扱えないシェル向けに CLI も同梱しています。 MCP の詳細
主張しないこと
あらゆることを約束するセキュリティ説明こそ疑うべきです。この機能の正直な限界を示します：
- 鍵形式の検出はリストであり、リストは古くなります。新しいプロバイダの鍵形式は追加するまで認識されません。だからこそ完成品として扱わず、更新を続けます。
- 意図的に曖昧な要求は承認カードまで到達し得ます。これは設計上の意図です（カードは人が意図を判断する場所です）。つまり承認は飾りではなく、実際に機能しています。
- 承認したものは実行されます。この層は要求できる内容を制限し、書かれた内容を提示しますが、誤った承認を安全にはできません。
- この仕組みは、ミスや侵害されたハーネスによる被害の難度を上げます。保証ではなく多層防御であり、他の対策と併用する 1 つの層として扱ってください。
継続的な更新
鍵の形式、プロンプトインジェクションの手口、アシスタントに過剰な操作をさせる手法は変化し続けます。この層は攻撃し続け、更新し続けるものとして扱います。新しい認証情報の形式・拒否パターン・マルウェアや構成のチェックは、大型リリースを待たずにアプリに反映されます。
すべてをひとつの Mac アプリで。
FrontierStack は、ローカルでもフリート全体でも、スタック全体のインストール・監視・保護をひとつのネイティブ macOS アプリで行います。
FrontierStack をダウンロード