How to Choose the Right Sandbox for AI Agents｜AI エージェントに適切なサンドボックスを選ぶ方法 | AIニュース最前線

![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a2b60bb89294179fd4a62eb_plum-77%20characters%20max.png) AI エージェントが最も有用なのは、行動を起こせる時であり、コードの記述と実行を可能にすることは、エージェントに与えることができる最も価値の高い機能の一つです。しかし、その自律性にはセキュリティリスクも伴います。エージェントが作成したコードは、データやシステムに対する予期せぬ脅威を生み出す可能性があるため、コードがどこで実行され、何にアクセスできるかを制御する必要があります。 サンドボックス（隔離環境）は、チームにそのような制御権を与えます。AI によって生成されたコードを分離し、その権限を制限することで、エージェントが実際に作業を行えるより安全な境界線を作成します。これは、エージェントが安全に使用できるコンピュータのようなものです。このガイドでは、AI 生成コードの実行に伴うセキュリティリスクと、エージェントの有用性を損なうことなくデータやシステムを保護するためのサンドボックス化アプローチの選び方について解説します。 ## エージェントによる致命的なトリプレット LLM（大規模言語モデル）はソフトウェアエンジニアリングに優れており、コード生成と実行は、エージェントが価値を生み出すための最良の方法の一つです。コード自体が出力となる場合もあれば、非ソフトウェアエンジニアリングのタスクを達成するためにプログラムを作成する場合もあります。後者の一般的な例としては、カスタムデータ分析を支援するためのワンオフスクリプト（単発スクリプト）を作成することが挙げられます。しかし、リスクとして、攻撃者がプロンプトインジェクション（注入攻撃）を利用して、エージェントにデータやシステムを侵害するコードを書かせようとする可能性があります。 現在、プロンプトインジェクションを確実に防止する方法はありません。プロンプトインジェクション攻撃を含む信頼できないコンテンツは、多くの経路を通じてエージェントのコンテキストに到達する可能性があります。エンドユーザーからの入力、外部 MCP サーバーからのレスポンス、第三者が作成したスキルなどは、その代表的な例の一部に過ぎません。 人気のある Django Web Framework の共著者であり、「プロンプトインジェクション」という用語を発明したサイモン・ウィリソンは、[以下のように](https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/) 説明しています。これら3つの条件がすべて満たされた場合、攻撃者にデータを盗まれるリスクが生じるという「致命的なトリプレット」です： - 機密データへのアクセス権限 - 信頼できないコンテンツへの曝露 - 外部との通信能力 ウィリソンの研究に触発され、Meta は [提案](https://ai.meta.com/blog/practical-ai-agent-security/) しました。この「2 の法則」を適用することで、トリプレットの3つの条件がすべて当てはまる場合、エージェントが完全に自律的に実行されるべきではないと述べています。 「2 の法則」は理解するのは簡単ですが、それを遵守することは困難です。エージェントに必要なツールを提供するには、通常、機密データへのアクセス権限と外部との通信能力の両方を付与する必要があります。基盤モデルやハーンエンジニアリングの進歩により、AI エージェントはより多くのコンテキストを活用できるようになりましたが、それは同時に攻撃者がプロンプトインジェクション攻撃を送る確率を高めることになります。 おそらく、致命的なトリオはあなたのエージェントにも適用されており、つまりそのエージェントがどのようなデータに対してどのような行動を取れるかを制限するセーフガードが必要です。これらの制御を成功裏に実装するには、まず3つのリスク要因すべてを絞り込むことが非常に重要です。そこがサンドボックスの役割です。 ## エージェントが行えることに明確な境界線を引くためのサンドボックスの利用 安全なサンドボックスソリューションは、エージェントの致命的なトリオへの曝露を狭め、成功したプロンプトインジェクション攻撃が発生した場合にそのエージェントが引き起こす害を制限するために、以下の機能を提供します： - 隔離されたファイルシステム - 制限されたネットワークアクセス - リソース制限 - 制御された再利用性 - ホストマシンからのカーネルレベルの分離（kernel-level isolation） 市場には「サンドボックス」と自称する製品が存在しますが、これらは標準機能としてこの機能を備えていない場合があります。そのため、エージェントに採用する前に潜在的なソリューションを批判的に評価する必要があります。例えば、オープンソースの Kubernetes Agent Sandbox は、コンテナ間にカーネルレベルの分離が保証されたクラスターへデプロイした場合のみ安全であり、大多数の Kubernetes クラスターではそのような分離が強制されていないため注意が必要です。 ## Isolated Filesystem サンドボックスには、エージェントが作業を行うために必要なデータのみを含め、他のデータへのアクセスを試みないようにブロックする必要があります。これにより、機密データへの曝露を最小限に抑えつつ、監査と制御を容易にします。 ## ネットワークアクセスの制限 サンドボックスは、エージェントがインターネットを介してデータを送信できる外部エンドポイントを指定できるようにする必要があります。つまり、攻撃者があなたのエージェントに機密データを漏洩させるように仕向した場合でも、そのデータを送信できるのはあなたが信頼するエンティティのみとなります。 ## リソース制限 サンドボックスは、エージェントが使用できる計算リソースとメモリの量、および使用時間を制御できるようにする必要があります。侵害されたエージェントがシステムの過剰なリソース消費を行えないようにします。 ## 制御された再利用性 サンドボックスの再利用は、実行間をまたいでエージェントの状態を永続化させる便利な方法ですが、一度でも攻撃者にサンドボックスが侵害された場合、その被害が持続する可能性があることを意味します。サンドボックスソリューションでは、このリスクを負う価値があるかどうかを決定できるようにする必要があります。 ## ホストマシンからのカーネルレベルの分離 上記の制御は、エージェントがそれらを強制するシステムを上書きできない場合にのみ機能します。残念ながら、オペレーティングシステムを支えるカーネルには、侵害されたエージェントが利用してマシンの制御権を奪い、データを守るあらゆる制御を迂回させることができるバグが含まれていることがよくあります。ここでの解決策は仮想化であり、つまりサンドボックスは、それを動作させているマシンとは別の独自のカーネルを使用して実行されます。マイクロVM（microVM）を活用したソリューションを使用すれば、各サンドボックスごとにフルサイズの仮想マシンを起動するコストを負担することなく、効率的にカーネル分離型のサンドボックスを作成できます。 上記のすべてを備えたサンドボックスソリューションがあったとしても、侵害されたエージェントがデータやシステムに及ぼすリスクについて真剣に考える必要がないという意味ではありません。サンドボックスだけでは致命的なトリオのどの側面も完全に排除することはできません。むしろ、機密データへのアクセスを縮小し、外部通信を制限することで、プロンプトインジェクションのリスク管理をチームが自信を持って解決できる十分な小さな問題へと変えるのです。 ## LangSmith Sandboxes: エンドツーエンドのエージェントエンジニアリングプラットフォームに統合された安全なコード実行環境 私たちは、LangChain、LangGraph、および/または Deep Agents で構築したエージェントを堅牢にテスト、デプロイ、監視できるようにするために、オープンソース製品を補完する LangSmith エージェントエンジニアリングプラットフォームを開発しました。サンドボックスはしばしば安全なエージェント構築に不可欠であるため、LangSmith には管理されたソリューションを組み込みました。本製品は上記のベストプラクティスに従って設計され、厳格なペネトレーションテスト（penetration testing）に供されました。[LangSmith Sandboxes](https://www.langchain.com/langsmith/sandboxes) は、Monday.com などの大企業を含むあらゆる規模の企業で利用されています。 LangSmith のサンドボックスは、それぞれ独自のファイルシステムを持つ専用マイクロ VM によって支えられており、互いにもしくは基盤インフラからカーネルレベルで隔離されています。開始からシャットダウン、最終的な破棄に至るまでのライフサイクルを完全に制御でき、必要に応じて必要な分だけ再利用できます。また、サンドボックス内で実行されるプロセスにどの程度のネットワークアクセス権を与えるかも決定可能です。さらに、認証プロキシも用意されており、アウトバウンドトラフィックがサンドボックスを出た後に安全な資格情報を注入するため、信頼できないプロセスが存在する可能性のあるサンドボックス内部に機密情報を配置する必要はありません。 LangSmith のサンドボックスは、既存の観測機能、評価機能、デプロイメント機能で利用しているのと同じ API および認証メソッドを使用して管理できます。LangChain、LangGraph、または Deep Agents で構築されたエージェントにサンドボックスの利用を追加するには、数行のコードを書くだけで済みます。 Why LangSmith Sandboxes: Secured following modern best practices Auth proxy isolating secrets from untrusted code Seamless integration with the LangChain and LangSmith ecosystem エージェントを有用かつ安全に保つためにサンドボックスの使用を検討されている場合は、[こちら](https://docs.langchain.com/langsmith/sandboxes)のドキュメントに従って、今日からすぐに LangSmith のサンドボックスの利用を開始できます。 ## 関連コンテンツ ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a230182ec72c27d00c09ed6_Give%20Your%20Agents%20it%27s%20Own%20Computer.png) LangSmith ## エージェントに専用のコンピューターを ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a2208d9f4f51f9565792dae_Amy%20ru.jpeg) Amy Ru 2026 年 6 月 5 日 7 分 ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a0f309a0e77b5e3544965e5_Lyft-customer-support-blog.png) 事例紹介 LangGraph LangSmith チュートリアルとハウツーガイド ## LangGraph と LangSmith を活用した Lyft のカスタマーサポート向けセルフサービス AI エージェントプラットフォーム構築 ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a0f35862276d228fb60ba48_akshay-sharma.jpeg) Akshay Sharma 2026 年 5 月 27 日 10 分 ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a15d44fbcc56ddb5fa6ef30_mission-control.png) LangSmith ## ミッションコントロール：Kubernetes 上で LangSmith をセルフホストして運用する ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a15d9b4090cf7ce7d82ae27_BlogPostImage%201.png) Gethin Dibben 2026 年 5 月 26 日 6 分 ## エージェントが実際に何をしているかを確認する LangSmith は、エージェントエンジニアリングプラットフォームであり、開発者がすべてのエージェントの意思決定をデバッグし、変更の評価を行い、ワンクリックでデプロイできるように支援します。

AI エージェントに適切なサンドボックスを選ぶ方法

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト