Lodeline は、AIコーディングエージェント向けのオープンソース (Apache-2.0) 設定スキャナーです。 Claude Code・Codex・Cursor・Gemini CLI などのエージェントに何を許すかを決める設定ファイルを読み取ります。 対象はサンドボックス、権限、フック、MCP サーバー、指示ファイルです。リスクをスコア化して、 下げ方を提案します。手元のマシンだけで動き、既定では何もブロックしません。
curl --proto '=https' --tlsv1.2 -fsSL https://raw.githubusercontent.com/Ju571nK/lodeline/main/install.sh | sh
実行する前に install.sh の中身を確認できます。 ダウンロードしたファイルはどれも、リリースの SHA256SUMS と照合されます。パッケージで入れたい場合は、 .deb、.rpm、Windows 向け .zip を GitHub Releases に置いています。
v0.12.0Sigil は Lodeline になりました。すべてのバイナリとパッケージが新しい名前にLodeline は読むだけです。lodeline scan を一度実行すると、エージェントごとのスコアと、 検出の種類ごとに一行のヒントが出ます。デーモンを動かしておけば、設定ファイルが変わるたびに採点し直します。 ブロックと fleet は、必要なときに自分で足すオプションです。
横にスワイプすると図の全体が見られます。
コマンドが動くのは、何らかの設定がそれを許したからです。Lodeline は、あなたが使うすべてのAIコーディングエージェントで その設定をスコア化します。攻撃者が探るのも、この設定です。下に並ぶ名前は、 lodeline scan に出てくる検出の種類です。
詳しく読む: AIエージェントの本当の攻撃面は設定ファイル →エージェントがサンドボックスの中で動いているか、それとも切られていてホスト全体に手が届くか。
ワイルドカードの許可ルール、空の拒否リスト、確認なしでツール呼び出しを通すモード。たとえば Claude Code の defaultMode auto や bypassPermissions、 Codex の approval_policy = "never" です。Claude Code を無人で動かすスケジュールタスクも対象です。
ワイルドカードのマッチャーや破壊的なコマンドを持つフックを、どこで宣言されていても見つけます。 settings.json、スキルとサブエージェントのフロントマター、ユーザー・リポジトリ・システム各レベルの Codex config.toml と hooks.json が対象です。 bash <script> 形式のフックは、スクリプトの中身も読みます。
ローカルコマンドを起動するもの、シェルや一時パス経由で起動するもの、リモート URL を指すもの、 プロジェクトフォルダを開いただけで自動で起動するもの。
モデルは読むのに、人の目には触れないツールの説明文です。エージェントに向けた指示、隠れた Unicode、 二つのサーバーが同じツール名を名乗るケースを検出します。デーモンを動かしておけばベースラインを保ち、 ツールのメタデータが変わったときに報告します。現時点では Codex のツールキャッシュを読みます。
CLAUDE.md、AGENTS.md、.cursorrules、 .cursor/rules に仕込まれたプロンプトインジェクションの行。取得して実行させる指示、 破壊的なコマンド、難読化、上書きマーカーなどです。
好きなときに実行しても、デーモンを常駐させてもかまいません。設定が変わった瞬間に採点し直し、 危険な設定 (自動承認、サンドボックス無効、広い許可、プロジェクト MCP の自動起動) がオフからオンに 切り替わると、ドリフトイベントを一度だけ記録します。
埋まっているマスは、どれも v0.12.0 時点の Lodeline のソースにあるチェックに対応しています。 空のマスは、そのエージェントのその設定をまだ読んでいないという意味です。
横にスワイプすると図の全体が見られます。
Lodeline はあなたの邪魔をせず、コマンドに割り込みもしません。設定の状態を読み取り、エージェントごとのスコアと、検出の種類ごとに一行のヒントを返します。 設定を書き換えることはなく、lodeline scan の終了コードは常に 0 です。 エージェントはそのまま動き続けます。
lodeline-hook は Claude Code、Codex、Cursor の PreToolUse フックとして 登録されます。--enforce を有効にして自分で拒否ルールを書くまでは、何も拒否しません。 Lodeline が用意するルールはありません。Bash の拒否ルールは、シェルが実際に実行するコマンドと照合するので、 rm -rf / と書いたルールは r''m -rf /、 rm${IFS}-rf${IFS}/、sudo sh -c 'rm -rf /' のような言い換え (Adversa AI が GuardFall として公開した手口) も捕まえます。$(…)、eval、シェルへのパイプのように 実行するまで中身が分からないものは bash_indirection という形で報告し、 これを拒否の条件にできます。ブロックが効くのは macOS と Linux です。
拒否ルールの照合方法 →lodeline-mcp は lodeline-check という名前の MCP サーバーとして 登録されます。Lodeline のデーモンが動いていれば、エージェントがこれを呼び出してこのマシンのスコアを読み、 普通の言葉で説明できます。読み取り専用で、書き込む手段はありません。
Claude Code や Codex を複数のマシンで無人稼働させているなら、それぞれに固有の状態があり、 手作業では全部を見張れません。同じスキャンの結果がマシンをまたいで集まり、どのホストが最も危険で、 なぜなのかを一つの画面で確認できます。
各ホストは自分専用のクライアント証明書を使い、mTLS で lodeline-server と通信します。 証明書は、登録時に一度だけ使えるトークンでサーバーから発行できます。インターネットにつながらないホストは、 リリースパッケージとチェックサムを GitHub ではなくサーバーから取得できます。
最新は 2026-10-31 リリースの v0.12.0 です。Sigil は Lodeline になりました。すべてのバイナリ、 パッケージ、パス、環境変数が新しい名前になり、旧コマンドは使えません。既存の環境で変更する項目は Sigil からの移行にまとめています。 それ以前のリリースは sigil の名前で出ており、下の年表でもその名前のままです。 v0.11.0 (2026-10-30) は env やインタプリタのオプション経由で起動するフックスクリプトを読み、 Codex が実行しないフックを対象から外しました。v0.10.0 (2026-10-28) は Claude Code のスキルとサブエージェントの フック、Codex の hooks.json を採点するようになり、sigil、sigil-sender、sigil-server の .deb パッケージを一台のホストに同時にインストールできるようにしました。
GitHub ですべてのリリースノートを見る →横にスワイプすると図の全体が見られます。
いいえ。lodeline scan、デーモン、lodeline-hook、既定のローカルモードの lodeline-mcp は、マシン上のファイルを読むだけで、どのサーバーにも接続しません。 アカウントもテレメトリもありません。データがホストの外に出るのは、fleet プロファイルを入れて、 lodeline-sender の送信先を自分で運用する lodeline-server に向けたときだけです。
既定ではしません。Lodeline は設定を読み、スコア、検出結果、ヒントを報告するだけで、ファイルを書き換えることもありません。 ブロックは lodeline-hook のオプトインの --enforce モードとしてだけ用意されていて、 拒否ルールは自分で書きます。
Claude Code、Codex、Cursor、Gemini CLI、Antigravity、Continue.dev、Claude Desktop を採点します。 macOS、Linux、Windows で動きます。Windows でもスキャナーは動きますが、lodeline-hook によるブロックと ローカルモードの lodeline-mcp は、今のところ macOS と Linux だけです。
サンドボックスは、実行中のプロセスが触れられる範囲を制限します。EDR は、何が実行されたかを記録します。 Lodeline はその一歩手前、権限を与えている設定そのものを見ます。そもそもサンドボックスが有効か、何が自動承認されるか、 どのフックや MCP サーバーが起動するか。どちらかを置き換えるものではなく、両方と並べて使えます。
はい。このページで紹介しているものはすべて Apache-2.0 のオープンソースで、無料で使えます。アカウント登録も要りません。
無料のオープンソースで、外部にデータを送ることはありません。