Shepherd — GitライクなリバーシブルトレースでAIエージェントを安全に監督するフレームワーク

AI エージェントの実行を Git コミットのように記録し、人間が確認・承認するまでファイルに反映しない安全な制御機構を提供するPython製フレームワークです。

GitHubで急上昇中の shepherd-agents/shepherd をご紹介します。スター数 1507★ を獲得し、AI分野で注目されているツールです。

Shepherd とは？AIエージェント実行を可逆的に記録するランタイム基盤

Shepherd は、スタンフォード大学・CMU の研究者が開発した AI エージェントのランタイム基盤です（arxiv: 2605.10913）。pip install shepherd-ai で導入でき、エージェントが実行した変更をすべて「保持された提案（Retained Output）」として管理します。ファイルへの反映は人間が shepherd run select で承認するまで保留されるため、エージェントが意図しない変更をシステムに適用するリスクを根本から排除します。

技術的には実行トレースを durable かつ inspectable な形式で記録し、replay・fork・revert が可能です。Docker commit より 約5倍高速な copy-on-write フォーク、KV キャッシュ再利用率95% を実現しています。v0.3.0（2026年7月）では macOS（Seatbelt）と Linux（Landlock）でシステムコールレベルの権限強制を実装し、ReadOnly 権限が付与されたリポジトリへの書き込みを OS レベルで拒否します。

こんな人におすすめ:

AIエンジニア向け: 本番環境で AI エージェントを動かしたいが、誤操作・予期しないファイル変更のリスクを排除したい方
研究者向け: メタエージェント（エージェントを管理するエージェント）を実験する際に再現可能な実行環境が必要な方

主な機能・特徴

リバーシブル実行トレース — エージェントの全ステップを durable な記録として保持、select/apply/discard で制御
システムコールレベル権限強制 — macOS Seatbelt・Linux Landlock による ReadOnly/ReadWrite 強制（v0.3.0〜）
高速な copy-on-write フォーク — Docker commit 比 5倍高速、メタエージェントの実験サイクルを短縮
シグネチャが権限表面 — Python 関数の型注釈が権限を宣言（May[GitRepo, ReadOnly]）し、コードが仕様書になる
Claude CLI 統合 — claude CLI を signed-in か ANTHROPIC_API_KEY で接続、そのままサンドボックス内で実行

Shepherd の使い方・始め方

インストールと初期化

pip install shepherd-ai

# 作業ディレクトリを Shepherd ワークスペースとして初期化
mkdir /tmp/agent-task && cd /tmp/agent-task
shepherd init

# Claude CLI が使えるか確認
shepherd doctor claude

タスクを書く（エージェントが実行する作業の定義）

import shepherd as sp

def write_program(
    repo: sp.GitRepo,          # 書き込み可能な Git リポジトリ権限を宣言
    prompt: str,
    output_path: str = "program.py",
) -> None:
    """Write a small, self-contained Python program that does what prompt asks."""

関数のシグネチャと docstring がそのままエージェントへの指示になります。repo: sp.GitRepo が書き込み権限の宣言です。

エージェントを実行して結果を確認

# デモを実行（エージェントが donut.py を書く）
shepherd demo write agent-task > agent_task.py
python agent_task.py

# 保持された提案（Retained Output）を確認（まだファイルには反映されない）
shepherd run changeset --latest --read donut.py | python3 -

# 承認して適用
shepherd run select <run-ref>   # 高速適用（fast-forward のみ）
shepherd run apply  <run-ref>   # 三方向マージ（ワークスペースが進んでいても適用可）

# 棄却
shepherd run discard <run-ref>

Shepherd と他のエージェントフレームワークとの違い — なぜ今このツールか

LangChain・AutoGen・CrewAI などの既存エージェントフレームワークは、エージェントの実行結果をリアルタイムにシステムへ適用します。コード生成エージェントが誤ったファイルを上書きした場合、元に戻す手段が限られます。

Shepherd は 「エージェントの変更は全て提案として保持し、人間が明示的に承認するまでシステムに反映しない」 という設計で根本的に異なります。加えて、権限管理を Python の型注釈として宣言し、その強制を OS のシステムコールジェルで実現する点は他フレームワークにはない特徴です。2026年7月の GitHub 急上昇は、LLM 精度向上に伴い AI エージェントの本番活用が現実になり始めた中で、安全な制御機構への需要が高まったことを反映しています。

こんな人に向いている

バックエンドエンジニア・DevOps エンジニア

本番インフラやコードベースに対して AI エージェントを動かしたいが、エージェントの誤動作リスクを制御したいエンジニアに最適です。May[GitRepo, ReadOnly] で読み取り専用リポジトリへのアクセスを OS レベルで強制し、誤った書き込みをシステムコール段階で拒否できます。

AI 研究者・ML エンジニア

メタエージェント（エージェントを最適化する別のエージェント）の実験に有効です。copy-on-write フォークで高速に並列実験環境を作り、各実行のトレースを比較・再現できます。論文（arxiv 2605.10913）の実験コードも公開されているため、メタエージェントの研究再現に利用できます。

スタートアップ CTO・テックリード

コード生成 AI を開発ワークフローに組み込む際の「ガードレール」として機能します。エンジニアが shepherd run select で確認・承認してから適用するフローを導入することで、AI の生産性向上と品質管理を両立できます。

使う前に知っておきたいこと

プラットフォーム制限

Python 3.11 以上が必須（3.10 以下は非対応）
Windows 非対応（強制機構が advisory-only になるため）。WSL 利用を推奨
OS レベルの権限強制（Seatbelt/Landlock）は macOS と Linux のみ有効

Alpha 段階の注意点

v0.3.0 現在は Alpha ステータスで、API がリリース間で変更される可能性があります。フィードバックは GitHub Issues で歓迎とのことです。

Claude CLI との認証

エージェントとして Claude CLI を使う場合、サブスクリプションまたは ANTHROPIC_API_KEY が必要です。SSH セッション越しに実行する場合は長期トークン（claude setup-token）の設定を推奨。短期ログインセッションはサンドボックス内でリフレッシュできないため失敗することがあります。

ライセンス

MIT License です。実験コードは別リポジトリ（shepherd-agents/shepherd-experiments）で管理されており、論文結果の再現に利用できます。

まとめ

Shepherd は「AI エージェントの実行を全て可逆的なトレースとして記録し、承認なしにシステムへ反映しない」という安全設計と、OS レベルの権限強制を組み合わせた次世代のエージェントフレームワークです。Alpha 段階のため API 変更の可能性はありますが、スタンフォード・CMU の研究者による論文実装で再現性が高く、実際のコード生成エージェントを本番に組み込みたいエンジニア・研究者にとって注目に値するプロジェクトです。

GitHub でチェックする →

この技術を学ぶ

AIエージェント開発に興味を持った方には、Udemy のオンラインコースもおすすめです。

🎓 関連するAI・エージェント開発コース一覧 — セール時（最大90%OFF）を狙うとお得です