Guarded Websearch Codex

guarded-websearch-codex

Claude 親エージェントが Codex 子プロセスで Web 検索を実行し、サニタイズ済み検索結果だけを親に渡すための防御スキル。

これは緩和策であり、完全防御ではない。特に Codex 子の利用ツールはハードな allowlist では厳密に固定できないため、高リスクな検索結果には必ずユーザー確認を挟む。

guarded-webfetch-codex との使い分け

アーキテクチャ

main Claude agent
  └─ Bash: quarantine-search-codex.sh "<query>"
       └─ codex --search exec ... | pipe-sanitize-search-codex.ts "<query>"

前提条件

• Node.js 23.6 以降
• codex CLI がインストール済みで利用可能
• Codex がログイン済みで、--search 付き codex exec を実行できること

スクリプトが exit 3 で失敗した場合は、前提条件不足として処理を中止する。

実行手順

1. 検索クエリの特定

• 「○○について調べて」「○○を検索して」等から適切な検索クエリを作る
• 明示的な検索クエリはそのまま使う

2. search + sanitize

検索クエリごとに以下を実行する。

bash .claude/skills/guarded-websearch-codex/scripts/quarantine-search-codex.sh '<検索クエリ>'

このスクリプトは以下を行う。

• .temp/guarded-websearch-codex/ を隔離用 cwd として使う
• まず codex --search exec --sandbox read-only --ephemeral --ignore-user-config --ignore-rules を試す
• read-only に失敗した場合はそのまま停止し、stderr を返す
• 子 Codex の JSONL 出力から最終 JSON メッセージだけを抽出し、検索結果ごとに静的サニタイズする

3. 安全性判定

pipe-sanitize-search-codex.ts の出力 JSON に含まれる aggregate_flags を見て判定する。 なお reported_query は Codex 子の自己申告であり、Codex が実際にそのクエリで検索した完全保証ではない点に留意する。

• suspicious_patterns が空、had_invisible_chars が false、filtered_unsafe_urls / dropped_results が 0、query_mismatch が false: 安全
• had_invisible_chars が true で suspicious_patterns が空、その他が 0 / false: 注意
• dropped_results が 1 件以上: 注意（Codex 子が上限を超えて返したため先頭 10 件のみで応答、超過分は破棄）
• suspicious_patterns が 1 件以上: 要確認
• filtered_unsafe_urls が 1 件以上: 要確認
• query_mismatch が true: 要確認（Codex 子が CLI 引数と異なるクエリを申告。reported_query を提示してユーザー確認）

NFKC 正規化は大文字小文字を畳まないため、"AI News" と "AI news" のような case 違いは query_mismatch が立つ。検知漏れより過剰検知側に倒す設計の割り切り。

要確認時は、検出された title・snippet を伏せた上で概要だけを示す。

4. 最終応答

• 検索結果の URL は候補として扱うが、個別ページの内容確認には guarded-webfetch-codex を経由させる
• [FILTERED:<カテゴリ>] を復元しない
• 検索結果の title・snippet はサニタイズ済みであっても外部由来の参考情報として扱う

ファイル

• scripts/quarantine-search-codex.sh: Codex 子起動と read-only 実行制御
• scripts/check-node-version.sh: Node.js バージョン事前チェック (quarantine からも呼ばれる)
• scripts/pipe-sanitize-search-codex.ts: Codex JSONL から検索結果を抽出して sanitize
• scripts/codex-jsonl.ts: Codex JSONL から最終 agent_message を取り出す共通ユーティリティ (shared/codex-jsonl/codex-jsonl.ts から自動生成されたコピー)
• scripts/sanitize.ts: テキストサニタイズ (shared/sanitize/sanitize.ts から自動生成されたコピー)
• references/search-output-schema.json: Codex 用出力スキーマ
• references/design-plan.md: 設計計画