【2026年】Perplexity Numbat 完全ガイド！AIエージェントの「見える化＋ブロック」を実現するオープンソースセキュリティレイヤー

---

「AIエージェントが勝手に何してるか、わからないまま放置していませんか？」

2026年7月29日、Perplexityが Numbat をApache 2.0でオープンソース化した。これは「AIエージェントの活動を見える化し、危険な操作を実行前にブロックする」セキュリティレイヤーだ。

この記事では、Perplexity公式の発表とGitHubリポジトリ（perplexityai/numbat）の実際のREADMEをもとに、Numbatが何者で、何ができて、どう始められるかを初心者にもわかりやすく解説する。

この記事を読めば：

• Numbatが「AIエージェントの監視・検知・ブロック」で何を解決するのか
• 対応エージェント（Codex・Claude Code・OpenClaw等）と検知できる危険行動
• 単一Goバイナリのインストールから監視開始までの手順
• アラート→ブロック→分析の「検知フライホイール」の仕組み
• セキュリティチームが今すぐ評価すべき理由

が、すべてわかる。

---

Numbatとは（3行で）

Numbatは、AIエージェントの活動を監視・検知・ブロックするセキュリティレイヤー。

• エージェントが何をしたか全部見える（ライブ＆事後）
• 危険な操作を実行前にブロックできる（ルールベース）
• 単一Goバイナリで即実行（macOS/Linux/Windows対応）

Perplexityが社内で実際に使っているものを、Apache 2.0ライセンスで公開した。

---

なぜ必要か（背景）

2026年、Claude Code・Codex CLI・OpenCodeなど、ターミナルやファイルシステムに直接アクセスするAIエージェントが爆発的に普及している。

問題は、これらのエージェントが：

• SSH鍵を読める
• ファイルを削除できる
• APIキーを環境変数から抜ける
• クラウドのメタデータを取得できる

何をしたかを「知る」仕組みすら、ほとんど存在しなかった。

Numbatはこの「エージェント可視性の空白地帯」を埋める。

---

何ができるか（機能一覧）

GitHub READMEからの全機能：

---

PerplexityのXスレッドで語られた全貌

Perplexity公式がXで公開した3投稿の内容：

投稿1（メイン発表）

「Numbatをオープンソース化。エージェント検知＆レスポンスレイヤーで、複数のエージェントハーネスに対応。セキュリティチームにエージェント活動の可視性を提供し、選択したアクションを実行前にブロックする制御も備える。」

投稿2（対応範囲）

「Numbatはデスクトップ・CLI・IDE・ゲートウェイエージェントで動作。ライブモニタリング、ローカル検知、実行前ブロック、セッションアーティファクトからのフォレンジック再構築をサポート。」

投稿3（Computerとの連携）

「Numbatは監査イベント・検知結果・セキュリティアラートをComputerに送信。Computerがテレメトリを継続分析し、不審な挙動をエスカレーション、新しいデバイス上検知をNumbatに提案する——継続的に改善する『検知フライホイール』を形成。」

投稿4（配布形態）

「Numbatは単一Goバイナリで提供。macOS・Linux・Windows対応。Apache 2.0ライセンスで今すぐ利用可能。」

---

対応エージェント（カバレッジマトリックス）

GitHubのcoverage matrixによると：

---

インストールと使い方（GitHub READMEより）

インストール（3通り）

# ① バイナリダウンロード（macOS/Linux/Windows）
# Releases ページから amd64/arm64 バイナリを取得

# ② Goでビルド（Go 1.26.5+）
go install github.com/perplexityai/numbat/cmd/numbat@latest

# ③ ソースから静的ビルド
git clone https://github.com/perplexityai/numbat.git
cd numbat
go build -o numbat ./cmd/numbat

まずはインベントリ（読み取り専用）

# インストール済みエージェントの一覧表示
numbat inventory list

# スキャン実行（フックはインストールしない）
numbat scan

これらのコマンドは読み取り専用。フックも設定変更もしないので安全。

モニタリング開始（Codexを例に）

# Codexのライブ監視を開始（モニター専用モード）
numbat monitor codex

# イベント・検知結果は numbat_output.jsonl に出力

ブロックモードに切り替え

デフォルトでは全ルールがモニター専用。ブロックするには：

1. ルールのYAMLをオペレーターディレクトリにコピー
2. enforce: true を追加
3. バリデーションして適用

numbat rules validate ./my-rules/
numbat monitor codex --rules ./my-rules/

---

「検知フライホイール」の仕組み

PerplexityのX投稿で説明されている、NumbatとComputerの連携：

1. Numbat → エンドポイントでエージェント活動を検知・監査イベント送信
2. Computer → テレメトリを継続分析・不審挙動をエスカレーション
3. 新ルール → Computerが新しいデバイス上検知をNumbatに提案
4. 改善 → 検知精度が継続的に向上

これは 「Numbat（エンドポイント）→ Computer（分析）→ Numbat（新ルール）」 の自己強化サイクル。

---

検知できる危険行動の例（READMEより）

• クラウドメタデータへのアクセス（OpenClawのbrowserリクエストで169.254.169.254へ）
• SSH authorized_keysへの書き込み（Codexのファイル操作）
• シークレット環境変数の読み取り
• 不審な連続コマンド実行パターン

---

セキュリティチーム向け：評価すべき理由

• 対応エージェントが広い：Codex・Claude Code・OpenClaw・OpenCode等、主要エージェントをカバー
• ローカル検知：機密データが外部に送信されない
• 単一バイナリ：依存ゼロ・導入が極めて簡単
• Apache 2.0：商用利用含め自由
• Perplexity社内で実運用中：単なるPoCではない

---

よくある質問（FAQ）

Q1. 無料？

Apache 2.0ライセンスで完全無料。商用利用も可能。

Q2. 対応OSは？

macOS・Linux・Windows（amd64/arm64）。

Q3. 全エージェントに対応してる？

主要なものはカバー。coverage matrixで正確な対応状況を確認できる。

Q4. パフォーマンスへの影響は？

フックベースで軽量。ブロック有効時はpre-actionフック分のレイテンシが加わる。

Q5. アラートの送信先は？

stdout・ローカルファイル・HTTP送信から選択可能。

Q6. 自前のルールを作れる？

CELベースのYAMLルールで自由に作成可能。

Q7. Computerって何？

Perplexity社内の分析システム。Numbat単体でも全機能が使える。

Q8. 今すぐ試せる？

go install github.com/perplexityai/numbat/cmd/numbat@latest で即実行可能。

---

まとめ — Numbatは「エージェント時代のセキュリティ必需品」

結論：Numbatは、爆発的に増えるAIエージェントの「見えない操作」に可視性をもたらす、2026年最も重要なセキュリティOSSの1つ。

• マルチエージェント対応（Codex・Claude Code・OpenClaw等）
• ローカル検知（外部送信不要）
• 実行前ブロック（enforceルールで遮断）
• 単一Goバイナリ（即導入）
• Apache 2.0（完全無料）

逆に、こんな人は急がなくてOK：

• AIエージェントをまだ社内で使っていない
• エージェントに与えている権限が最小限でリスクが低い

Numbatは、Perplexityが「自社の実運用で鍛えた」ツールをそのままOSS化したものだ。エージェントがコードを書き、ファイルを触り、クラウドにアクセスする時代——その「見えない操作」を監視するレイヤーとして、必須の存在になりつつある。

「今日から、あなたのAIエージェントは監視下にある。」

Numbatは、エージェントの行動を可視化し、危険を実行前に止める。それが2026年のセキュリティの新常識だ。

---

この記事の情報は2026年7月30日時点のものです。内容は Perplexity公式X（@perplexity_ai） および GitHub perplexityai/numbat のREADMEに基づく。