サンドボックス下のシェルコマンドの送信先

第 2 章 のサンドボックスの模型で、接続できるホストの集合を $D$ とする設定のもとで実行されたシェルコマンドについて、次が成り立つ。ここで「接続できるホストは $D$ だけ」は模型の仮定で、$D$ の外のホストへの接続が、利用者の承認や権限モードによってあとから許されることは無いとする（実物でこの仮定にあたる設定は、下の「許可ドメインの外のホスト」の項を参照）。

1. コマンドとその子プロセスが接続できた先は、すべて $D$ に属する。これは、権限の判定がどんな写像であっても、モデルが何を出力しても成り立つ。とくに $D = \varnothing$ なら、サンドボックス下のシェルコマンドはどこにも接続できない。
2. サンドボックスの外で実行される呼び出し（ファイル用やウェブ用のツール、MCP ツール、サンドボックスなしで実行されるコマンド）には 1 が及ばない。それらの (c) は、権限規則で別に閉じる必要がある。