Gimotty はサーバーをどう守るか
Gimotty は意図してコマンドを実行するツールで、サンドボックスではありません。その力をあなたの手に留めておくために何をしているか、そして何を約束しないかを、このページで率直に説明します。
SSH の暗号化は OpenSSH が担う
- Gimotty は Windows に付属する OpenSSH クライアントを実行します。独自の暗号処理は実装していません。
- ユーザーとシステムの SSH 設定を読まないため、引き継がれた
ProxyCommandやMatch exec、信頼設定の上書きは実行されません。踏み台のすべての段に、同じポリシーを一時的な専用設定で適用します。 - 独自の
known_hostsを持ちます。デスクトップのタブは新しいホスト鍵の確認を求め、変わった鍵は拒否します。MCP とexecは確認を求めず、SHA256 フィンガープリントを照合して事前に信頼した鍵だけを受け入れます。
パスワードは暗号化し、AI からは届かない場所に
- 保管庫は、マスターパスワードから Argon2id(64 MiB、3 パス)で導いた鍵による XChaCha20-Poly1305 の暗号文 1 つです。パラメーターを弱めると復号に失敗します。
- 保存したパスワードは、そのセッション自身のプロンプト(SSH ではその
user@hostを含むもの)が求めたときに、接続から 60 秒以内に、一度だけ入力します。踏み台やsudoに渡ることはありません。 - アシスタント、MCP サーバー、
execは保管庫を読みません。セッションログには[saved password sent]とだけ記録します。
AI はあなたの承認があるときだけ動く
- 確認なしで動くのは照会だけです。接続、入力、コマンド、ファイルの読み書きはすべて承認を待ち、5 分で期限切れになります。
- ツールの出力やファイルの内容は信頼できないデータとして扱い、指示としては扱いません。これは多層防御の一つです。プロンプトインジェクションを完全に防げるソフトウェアはありません。
- モデルとの通信は HTTPS です(ループバックと、許可したプライベートアドレスを除く)。リダイレクトは拒否し、認証情報が含まれうるプロバイダーのエラー本文は表示しません。
MCP の権限は、起動する人が決める
- 起動フラグ(
--allow-connect、--allow-write、--allow-local)がすべての上限です。ツールの引数で広げることはできません。 - フォルダーやセッションを、AI から非表示または読み取り専用にできます。
--allow-localがなければ、ファイルツールは PC 上の任意のファイルを読むことも上書きすることもできません。
すべての記録は PC の中に
- 監査ログには、接続、入力、コマンド、ファイル操作が、拒否・期限切れの承認も含めて結果とともに記録されます。
- ファイルはアトミックに保存します。セッションの保存はロックをかけ、ほかで変更された内容を上書きしません。
- Unix の設定ファイルは所有者だけが読めます。Windows で保存した API キーは、現在のアカウントの DPAPI で保護します。
Gimotty が通信するのは、指示した相手だけ
- アカウントなし、テレメトリーなし、自動アップデート確認なし、Gimotty のクラウドもありません。
- ライセンスの認証はオフラインです。デバイス ID は Windows のインストール ID から作った一方向のダイジェストで、ハードウェアのシリアル番号、ユーザー名、MAC アドレスは含みません。
- 通信先は、あなたのサーバー、あなたのプロキシ、あなたが設定したモデルのエンドポイントだけです。
- 会話はメモリー上に保持し、ディスクには書き込みません。
約束しないこと
- Gimotty はサンドボックスではありません。コマンドはあなたの権限、またはサーバーのアカウントの権限で動きます。
- 外部のセキュリティ監査はまだ受けていません。
- 早期アクセス版はまだ Authenticode 署名されていません。ダウンロードに付属する SHA-256 ファイルで確認してください。
- キャンセルしたコマンドでも、サーバー上で切り離されたプロセスが残ることがあります。