agent-env-mcp

ホスト側のMCPコントローラーで、再利用可能なLinux開発ランタイムを所有し、コーディングエージェントに対して狭いプロジェクトスコープのワークスペース/ツール境界を公開します。

信頼境界

• MCPプロセスはDockerを制御する必要があるため、ホスト上で実行されます。

• モデルには、ホストファイルシステムツールや任意のホストコマンドツールは一切与えられません。

• VS CodeはMCP起動時に、現在開いているワークスペースをAGENT_HOST_WORKSPACE経由で一度だけ渡します。

• そのワークスペースは、エージェント所有のランタイムの/agent-env/environment/<project-slug>にバインドマウントされます。

• ファイル読み取り、検索、編集、ローカルGit、ビルド、テスト、その他のコマンド実行は、Linuxのagentコンテナ内で行われます。

• ランタイムにはDockerソケットもGitHub認証情報のマウントもありません。

• ComposeとDockerfileは、アプリケーションリポジトリではなく、このリポジトリが所有します。

公開ツール

• ensure_environment

• list_directory

• read_file

• search_workspace

• workspace_edit

• run_command

• git_command

run_commandはシェルなしの構造化されたprogram + args実行を使用し、直接のGitを拒否します。git_commandはGitHub Operator向けで、リポジトリのフック/署名を無効にし、ローカルGitサブコマンドの許可リストのみを許可します。ネットワークGit操作は意図的に除外されています。

インストール

cd D:\mcp\agent-env-mcp
npm install

mcp.json.exampleを使用して、サーバーをVS CodeユーザーMCP設定に追加します。

重要な設定は次のとおりです:

"env": {
  "AGENT_HOST_WORKSPACE": "${workspaceFolder}"
}

MCPサーバー起動後、モデルは別のホストワークスペースを選択できません。

検証

MCPサーバーを再起動した後:

1. ensure_environment

2. path: "."を指定したlist_directory

3. 既知のプロジェクトファイルに対するread_file

4. 既知のシンボル/テキストに対するsearch_workspace

5. program: "pwd"を指定したrun_command

6. args: ["status", "--short"]を指定したgit_command

想定される境界違反:

• read_file("../../anything")

• 絶対パス

• Windowsパス

• 直接の.git読み取り

• bashを指定したrun_command

• dockerを指定したrun_command

• gitを指定したrun_command

移行

新しいランタイムが実証された後:

1. プロジェクト所有の.devcontainerを削除します。

2. Software Engineerから汎用のVS Code execute、read、edit、searchを削除します。

3. 厳格なコンテナのみの読み取り境界の場合は、agent-envの外のソースを検査するVS Code C/C++セマンティックツールも削除します。

4. GitHub OperatorにローカルGit用のagent-env/git_commandを付与します。

5. リモートGitHub操作はGitHub MCPに残します。

ランタイムベースライン

同梱のDockerfileは、Node 24 LTS、C/C++ビルドツール、Python、PlatformIO 6.1.19、Git、ripgrepを使用します。ランタイムプロファイルは、信頼モデルを変更せずに後で分割できます。