セルフホスト型 AI コーディングエージェント — 完全ガイド

AI コーディングエージェントが真にセルフホスト型になるのは、デスクトップインターフェースだけでなく、より多くの要素が自分のハードウェア上で動く場合です。コードを環境内にとどめるには、アプリケーション、モデル推論、埋め込み、ログ、ツール、リポジトリのすべてが境界の内側に残らなければなりません。安全な導入は、隔離されたテストリポジトリ、管理者権限のないサンドボックス、制限された外向き通信、適切な規模のローカルモデル、そして結果を伴うすべての書き込みに対する人間の承認から始まります。

人々が「セルフホスト」と呼ぶ 4 つの導入状態

1. ホスト型モデルを使うローカルアプリケーション

エージェントのインターフェースとツールは自分のコンピューターで動作しますが、選択したコードとプロンプトは API プロバイダーへ送信されます。これはローカル実行であり、完全ローカル推論ではありません。

2. プライベートエンドポイントを持つセルフホスト型アプリケーション

チームがアプリケーションを運用し、VPC、プライベートクラウド、またはオンプレミスゲートウェイ内のモデルエンドポイントへ接続します。データ経路を厳密に制御できますが、依然としてエンドポイントのホスティングとログ設計に依存します。

3. 完全ローカル推論

アプリケーション、モデル重み、埋め込み、ログ、ツールが所有ハードウェア上に残ります。「コードは環境を出ない」と言えるのはこの状態だけであり、それもテレメトリー、クラッシュレポート、パッケージマネージャー、コネクター、更新サービスを確認した後に限られます。

4. エアギャップ導入

ネットワーク経路が一切存在しません。イメージ、パッケージ、モデル、脆弱性データ、更新は承認済みのオフライン手順を通じて取り込みます。ネットワーク接続が有効なローカルモデルはエアギャップではありません。

リファレンスアーキテクチャ

Developer
   ↓
Eigent / coding-agent harness
   ↓
Policy and approval gate
   ↓
Sandboxed repository tools ── Git, tests, linters, scanners
   ↓
Private model endpoint ── local logs and evaluation store

Eigent のアプリケーションリポジトリは Apache-2.0 です。ソースのクイックスタートは Eigent cloud に接続する場合がありますが、リポジトリはスタンドアロン利用者を別の Local Deployment 経路へ案内しています（Eigent リポジトリ）。データ分離が目的なら、スタンドアロン経路を使用し、検証してください。

ほかのハーネスが別のワークフローに適することもあります。OpenHands は Docker、VM、ローカル、クラウドのバックエンドを備えた MIT ライセンスのコアを提供します（OpenHands リポジトリ）。Cline は承認機能を持つ Apache-2.0 の IDE/CLI エージェントを提供します（Cline リポジトリ）。Aider は Apache-2.0 の Git ネイティブなターミナルループを提供します（Aider リポジトリ）。

オープンソース AI コーディングエージェントの比較では、これらのハーネスをインターフェース、保守状況、導入モデル、承認設計で分けています。

AI コーディングエージェントのハーネスを選ぶ

インターフェースだけで選んではいけません。ツールがファイルのスコープ設定、コマンド実行、プロンプト保存、テレメトリー送信、シークレット管理、ツール呼び出し記録をどう行うか検証してください。

架空の最低要件ではなく、ワークロードからハードウェアを見積もる

「8 GB あれば十分」という誠実で普遍的なルールはありません。ハードウェアはモデルアーティファクト、量子化、コンテキスト長、同時実行エージェント、リポジトリインデックス、必要なレイテンシーに左右されます。

Ollama は NVIDIA GPU、Apple Metal、実験的な Vulkan 経路をサポートしています。スケジューラーは利用可能な VRAM を確認し、プロセス表示はモデルが GPU、CPU、または両者に分割されているかを示します（Ollama GPU ドキュメント、Ollama FAQ）。チーム向けのサービングには vLLM が本番志向の選択肢ですが、アクセラレーターとイメージのサポートは変化するため、最新の vLLM インストール文書を使用してください。

オープンな重みだからといってラップトップへの導入が保証されるわけではありません。Kimi K2 の公式モデルカードは総パラメーター数 1 兆と記載しており、ダウンロード可能なモデルでも大きなインフラを必要とし得ることを示しています（Kimi K2 モデルカード）。

サンドボックス優先の導入手順

1. インストール前に脅威モデリングする

ソースコード、シークレット、顧客データ、ビルド成果物、ログを分類します。誰がタスクを開始できるか、エージェントが取り得る操作、どの失敗が許容できないかを列挙します。

NIST SP 800-218A は、生成 AI 向けに安全なソフトウェア開発ガイダンスを拡張したもので、AI システムの提供者と取得者を対象としています（NIST）。これをガバナンスの参照として使い、ツールや導入が「NIST 準拠」である証明として使わないでください。

2. 隔離されたランタイムを作成する

コンテナーまたは VM で、専用の非管理者アイデンティティとしてエージェントを実行します。ホームディレクトリ、SSH キー、クラウド認証情報、ブラウザープロファイル、パスワードマネージャー、本番マウントへのアクセスを拒否します。

OpenHands は、サンドボックス化されていないローカルエージェントがファイルシステム全体へアクセスできると明示的に警告しています（OpenHands リポジトリ）。このリスクは、シェル権限を持つあらゆるコーディングエージェントに概念的に当てはまります。

3. 合成テストリポジトリをクローンする

顧客データやシークレットを含まないコードを使います。そのディレクトリだけをマウントします。マウント外にカナリアファイルを追加し、エージェントが読めないことを検証します。

4. スタンドアロンアプリケーション経路を導入する

クラウド接続のクイックスタートではなく、公式リポジトリが参照する最新の Eigent Local Deployment 文書に従ってください（Eigent リポジトリ）。使用した正確なコミット、イメージ、依存関係、設定を記録します。

5. ローカルモデルを 1 つ接続する

測定したハードウェアとタスクに収まるモデルを選びます。プロセス配置、レイテンシー、コンテキスト処理、出力品質を確認します。ホスト型エンドポイントは非ローカルの品質ベースラインとして、明確にラベル付けして扱います。

6. ネットワークの外向き通信を制限する

外向きトラフィックをブロックしてから、何が失敗するかを観察します。DNS、更新確認、テレメトリー、クラッシュレポート、パッケージマネージャー、ブラウザーツール、MCP サーバー、モデルダウンロードを調べます。例外をすべて記録します。

7. スコープを絞ったツールを作成する

リポジトリへの読み書きアクセスと、ビルド、テスト、lint、フォーマットコマンドの許可リストから始めます。デプロイ、ID 変更、クラウド管理、任意のパッケージインストール、外部メッセージングを拒否します。

8. 承認ゲートを追加する

ファイル書き込み、コマンド実行、依存関係、ネットワーク利用、リポジトリ外でのあらゆる操作に承認を求めます。モデルが説得力をもって要求しても、決定的なポリシーが禁止操作をブロックすべきです。

9. 評価セットを実行する

すべてのモデルとハーネスに同じタスクを使います。バグ修正、複数ファイルのリファクタリング、テスト作成、依存関係更新、コード説明、スコープ外ファイルの変更拒否です。正確性、テスト合格率、レビュー時間、試行された境界違反、レイテンシー、コストを採点します。

10. ブローカー経由でシークレットを導入する

合成評価に合格して初めて、エージェントへ狭いスコープで短期間の認証情報を渡すべきです。シークレットはプロンプトとログの外に置きます。再利用可能な管理者トークンではなく、1 つの操作を許可するブローカーを優先します。

エージェント型コーディングに固有のセキュリティリスク

2026 年のセキュリティ分析は、間接的なプロンプトインジェクション、混乱した代理人の振る舞い、長時間動くエージェントシステムでの連鎖的障害を取り上げ、高影響操作にはサンドボックスと決定的制御を推奨しています（研究論文）。コーディングエージェントは、issue、README ファイル、コメント、依存関係メタデータ、Web ページ、ツール出力を通じてこれらのリスクにさらされます。

制御には次を含めるべきです。

• リポジトリと Web テキストに対する信頼できないコンテンツのラベル付け。
• 指示を読むことと権限を与えることの厳格な分離。
• クエリ、行、時間、出力の上限。
• 許可リスト化されたパッケージレジストリと依存関係レビュー。
• プロンプト、ツール呼び出し、差分、承認の不変ログ。
• マージ、リリース、デプロイ前の人間によるレビュー。
• Git と再現可能な環境によるロールバック。

セルフホスティングは外部データ境界を 1 つ減らします。その代わり、パッチ適用、ランタイムセキュリティ、鍵管理、監視、インシデント対応の責任をチームが負います。

導入をエアギャップへ拡張する

エアギャップされたエージェントには、ローカル推論のチェックボックス以上のものが必要です。

1. 承認済みのコンテナーイメージ、パッケージ、モデルアーティファクト、脆弱性データをミラーリングする。
2. オフラインで取り込む前にハッシュと署名を検証する。
3. インベントリとソフトウェア部品表を維持する。
4. 自動更新、テレメトリー、インターネットアクセスを前提とするコネクターを無効にする。
5. オフラインのパッケージおよびモデルレジストリを提供する。
6. パッチとレポートのために署名付きエクスポート経路を定義する。
7. オフラインのセキュリティ更新と緊急失効手順を予定化する。
8. DNS、プロキシ、管理インターフェース、モデルツール経由の経路が環境にないことをテストする。

エアギャップは更新と運用の負担を増やします。内部者リスク、悪意ある依存関係、安全でない取り込み文書、モデルの誤りをなくすものではありません。

コンプライアンスと証跡

セルフホスト型コーディングエージェントによって、チームが GDPR、HIPAA、SOC 2、ISO 27001、輸出規制、契約上の機密保持に自動的に準拠するわけではありません。コンプライアンスは導入、担当者、ポリシー、契約、証跡に依存します。

モデルとデータセットのライセンス、SBOM、アクセス方針、承認マトリックス、ログ保持、バックアップ、災害復旧、脆弱性対応、ロールバックを文書化します。プロンプトとツールのログにはソース断片やシークレットが含まれ得るため、潜在的に機密性が高いものとして扱います。

ホスト型コーディングエージェントが適している場合

チームがモデルインフラを運用できない場合、成熟したリモート環境が必要な場合、ベンダーサポートを重視する場合、または必要なコンテキストを法的にプロバイダーへ送れる場合は、ホスト型エージェントを使います。適切に統治されたホスト型サービスは、放置されたセルフホスト導入より安全になり得ます。

データ境界、ソース検査、モデル選択、オフライン運用、カスタムポリシーが、エンジニアリングとセキュリティの所有責任を正当化するならセルフホスティングを使います。

モデルだけでなく AI コーディングエージェントの境界を運用する

Eigent はプライベートなコーディングワークフローのために検査可能なオーケストレーション層を提供できますが、真にセルフホストされているかはサンドボックス、モデルランタイム、権限、ログ、更新プロセスで決まります。合成リポジトリ内で 大規模コードベースを理解することから始め、制御が機能してからのみ拡張してください。隔離された評価を始めるには Eigent をダウンロードしてください。