社員全員に「エージェント1体」を配る──YC S26採択OneCLIが解こうとしている問題

3行まとめ

1. OneCLIは「社員一人ひとりにサンドボックス化された専属エージェントを配る」ことを目的にしたOSS基盤で、Y Combinatorの公式企業ページによればS26（2026年夏バッチ）採択企業。
2. Rust製ゲートウェイがすべての通信をMITMで中継し、認証情報をエージェント自身には見せずにヘッダとして注入する構成が特徴。
3. Apache-2.0で公開されているが、ee/ディレクトリだけは別のOneCLI Enterprise Licenseで、本番利用にはサブスクリプションが必要と明記されている。

個人向け自律エージェントは「チームにすると壊れる」

READMEが語る開発の経緯はこうだ。OneCLIはもともとRustで書かれた、AIエージェント向けの認証情報保管庫（credential vault）として始まった。ところが実際の需要の多くは、Hermes・OpenClaw・NanoClawのような自律エージェントを個人だけでなくチームで動かしたい、という声だったという。自律エージェントはどれも「1人で使う」前提で作られていて、それをチームに広げようとした瞬間に、エージェントを一つずつ立ち上げ、それぞれに何を許可するか決め、ホスティングし、誰のエージェントか管理する、という作業が煩雑になる。欠けていたのは「秘密情報とパーミッションの管理」と「複数人運用（マルチプレイヤー）管理」の2つだったとREADMEは説明し、それに応えたのがOneCLI v2だとしている。

エージェントに何が付いてくるか

READMEでは、OneCLIにおける1体の「エージェント」を次のように定義している。

• 専用の計算機（computer）: 独立したサンドボックスにファイルシステムとシェルを持ち、外に出る手段はゲートウェイのみ。許可された範囲以外には到達できない
• 会話（conversation）: ダッシュボードまたはSlack上の専用ページ。作業中に送ったメッセージは、キューに並ばずすぐに割り込む
• メモリ: エージェントが学んだことはプラットフォーム側に保持され、失われない。いつでも読み書き可能
• スキル: 一度書けば常時使える指示・ヘルパー
• スケジュール: 将来のタスクを計画でき、適切なタイミングでプラットフォームが起こす
• 決して見えない認証情報: 許可された範囲のアクセス権だけをゲートウェイが毎リクエスト強制する。Bitwardenや1Passwordと連携したオンデマンド注入も可能で、サーバー側には何も保存されない
• 専用のSlackアプリ: 一度接続すれば、そのエージェント自身の名前とアバターでチャンネル・DMに応答する

「チームのIDプロバイダと統合して社員一人ひとりのIDでエージェントをプロビジョニングする」「破壊的な操作（メール送信・Linearチケット削除・S3バケット空にする、等）はチャット内でdeterministicな人間承認を挟む」といった機能も並ぶ。

アーキテクチャ──ゲートウェイがMITMで鍵を注入する

READMEに掲載されているアーキテクチャ図の説明によれば、構成は次の7コンポーネントに分かれている。

• Webダッシュボード（Next.js）: エージェントの作成・チャット・メモリ編集・接続管理
• APIサーバー: データベースと会話・作業キューを持つコントロールプレーン
• Rustゲートウェイ: アウトバウンド通信（HTTPS含む）をMITMで中継し、認証情報を注入する。エージェントはProxy-Authorizationヘッダのアクセストークンで認証する
• Runner: サンドボックスの起動・待機・回収を担当。アウトバウンド専用でデータベースには一切触れない
• Sandbox Supervisor: 各サンドボックス内で動き、ベンダー非依存のハーネスインターフェースを話す（＝エージェントのランタイムを差し替え可能にする）
• SSH Terminator: 短命証明書でssh接続を終端し、サンドボックスに橋渡しする
• Channel Adapter: エージェントごとに1つのSlackアプリを動かすデーモン

Runnerはアウトバウンド専用でインバウンドポートを一切持たないため、「ラップトップでもホームラボでもNAT越しのVPCでも、着信の穴を開けずに動く」とREADMEは説明している。秘密情報自体はAES-256-GCMで保存時暗号化され、リクエスト時のみ復号、ホストとパスパターンでマッチしてヘッダまたはクエリパラメータとして注入される。

ライセンス構成──Apache-2.0＋エンタープライズ枠

ライセンスはApache-2.0を基本としつつ、ee/ディレクトリ配下だけが別建てのOneCLI Enterprise Licenseになっている。この部分は開発・テスト・評価では無料だが、本番利用にはサブスクリプションが必要だとREADMEは明記している。それ以外はApache-2.0で、商用ライセンスなしに本番でセルフホストできるとされる。

LICENSE-ENTERPRISEファイル自体をraw取得して読むと、対象パスは次の3箇所に限定されており、それ以外の全ファイルはApache-2.0だと明記されている（ライセンス本文は「THE LICENSED PATHS. The list below is authoritative. This file is the only place the paths are enumerated.」と、この一覧が唯一の正本であることまで書いている）。

LICENSE-ENTERPRISEの著作権表記は「Copyright (c) 2025-present ChartDB, Inc.」となっている。ChartDBは、データベース設計図をブラウザで作図できる別のOSSプロジェクトで、GitHub API実測でスター22,832（2026年8月31日確認）を持つ、それ自体が知られたツールだ。ChartDBのGitHub組織ページに登録されているメールアドレスはjonathan@buckle.devで、OneCLIのYCombinator公式ページに記載されたFounder/CEOの氏名「Jonathan Fishner」と名前が一致する。両者が同一チームによるものだと明言する一次情報はこの記事の範囲では見つからなかったが、著作権表記とメールアドレスの一致から、OneCLIがChartDBチームによる別プロダクトである可能性が高いことがうかがえる。

YCombinatorの公式企業ページによれば、OneCLIの創業者はJonathan Fishner氏（Founder/CEO）とGuy Ben Aharon氏（Founder/CTO）の2名で、拠点はサンフランシスコ、カテゴリはB2B・Security・Open Source・Infrastructure・AI。本文の紹介文には「エージェントは実際の秘密情報を一切保持しない。認証情報はネットワーク層で、リクエストごとに、認可された後にのみ注入される。存在しないものは盗めない」という一文があり、README側の設計説明と一致している。

自分で試せたこと・試せなかったこと

本記事はOneCLIのGitHubリポジトリのREADMEを2026年8月27日にcurlで取得した内容にもとづく。ローカル開発の手順としてgit clone・mise install・pnpm install・pnpm devの4行が示されており、これを実行するとPostgreSQLの起動からマイグレーション、.env生成までをpnpm dev一つで済ませる設計だとREADMEには書かれているが、PostgreSQLやmiseの環境構築を要する都合上、今回は実際にローカル起動して動作を確認するところまでは行っていない。IdP連携の対応範囲（Okta・Entra IDなど具体的にどこまで対応するか）や、Slackアプリ発行の実際の手順についても、README本文以上の裏取りはできていない。

この記事を書くにあたりGitHub APIを2026年8月31日に叩き直したところ、スター数3,430・フォーク215・オープンIssue134、リポジトリ作成は2026年3月8日、直近pushは8月29日だった。8月27日時点の値は本文中には記録していないため、この4日間での増減幅は確認できていない。オープンIssue134件という数自体は多いが、内訳（バグ報告か機能要望か）を実際に1件ずつ開いて分類する作業はこの記事では行っていない。

「エージェント向け秘密情報基盤」という切り口の記事は見当たらない

Zenn・Qiitaともにヒットゼロだった。「AIエージェントをチーム単位で運用するための権限・秘密情報基盤」というテーマは、個人向けエージェントツールの記事に比べて日本語圏での解説がまだ薄い領域だと言える。

関連記事

• 2026年は「AIエージェント元年」──企業は何を準備すべきか
• AIセキュリティリスク──プロンプトインジェクション・データ漏洩対策【2026年】
• 生成AIのセキュリティリスク──企業が押さえるべき6つの脅威と対策