サンドボックスなしで不審なコードを実行する深層エージェントの仕組み

## サンドボックスなしで信頼できないエージェントコードを実行する ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a43cc5767154e5584cb825f_dark-57%20characters%20max.png) 私たちは最近、Deep Agents に [動的サブエージェント](https://www.langchain.com/blog/introducing-dynamic-subagents-in-deep-agents) を導入しました。これは、サブエージェントをツール呼び出しごとに一つずつ実行するのではなく、エージェントがそれらを調整する短いスクリプトを書くようにしたものです。このスクリプトは、[コードインタプリタ](https://docs.langchain.com/oss/python/deepagents/interpreters) で実行されます。ここではエージェントがコードの記述と実行を行います。 これは強力なパターンですが、その基盤には欺瞞的に難しい要素があります： ***信頼できないコードを安全かつ確実に実行するのは困難です。*** 信頼できないコードを実行することはよく研究されている問題ですが、信頼できない入力に影響されたエージェントによって書かれたコードを実行することはそうではありません。[プロンプトインジェクション](https://en.wikipedia.org/wiki/Prompt_injection) が未解決のまま残っているため、エージェントが書いたコードは最終的に許可されるべきではない何かを行う可能性があると想定せざるを得ません。エージェントの行動を信頼するのではなく、その実行可能な範囲を制限します。このようにして信頼できるエージェントを実現するには、以下の 3 つの設計要件に収束します： - エグゼキューションアイソレーション：エージェントが記述したコードは、実行先のホストを侵害できません。 - キャパビリティアイソレーション：エージェントがアクセスできるデータとアクションは、私たちが意図的に付与したものだけに限定されます。 - 永続的な一時停止：実行は人間の入力を待って停止し、その位置を失うことなく後で再開できます。 [Interrupt 2026](https://interrupt.langchain.com) で、これらの要件に基づいて構築された 2 つの提供物を発表しました。 - LangSmith Sandboxes は、エージェントに完全なリモートコンテナを提供します。ローカルのコーディングエージェントとほぼ同等の自由度を持ちながら、異なるマシン上でアイソレーションされます。 - Deep Agents 向けの Code Interpreters（コードインタプリタ）は、対照的なアプローチを採用しています。これはより小さなランタイム環境であり、エージェントがプログラムを記述・実行できますが、私たちが提供するハッチス内でのみ可能です。 最初の種類のサンドボックスについては[すでに記事](https://www.langchain.com/blog/how-to-choose-the-right-sandbox-for-your-agent)にまとめています。本稿では後者について取り上げます。オーケストレーションワークフローが必ずしもサンドボックス化されたコンピュータを必要としない理由、そしてなぜサンドボックスが魅力的であるかというアイソレーション性を損なうことなく、より小さな攻撃面を維持できるのかについて解説します。 ## エグゼキューションアイソレーション 信頼できないコードを実行する誰もが同じ結論に達します。それは、そのコードと他のすべてのものの間に堅牢な境界線が必要だということです。インタプリタもプロセスから離れることなくこの境界線を必要とし、それが私たちが WebAssembly（ウェブアッスエム）を利用する理由です。 ## WebAssembly [WebAssembly](https://webassembly.org/)（WASM）は、独自のメモリを持つサンドボックス化されたインプロセス VM 内で実行されるコンパクトなバイナリ形式であり、外部世界とのやり取りはホストが提供する機能を通じてのみ行われます。この独立した線形メモリこそが境界の核心です：WASM 内部で実行されているコードは、ホストプロセスへのポインタを参照できないため、割り当てられていないメモリを読み書きしたり破損したりすることはできません。WASM ランタイムでは、厳格なメモリおよび実行制限を容易に適用できますし、ハーン（テスト枠組み）と並行して動作するため、別のマシンを構築することなく計測・監視を行うことが可能です。 [AWS](https://www.vantage.sh/blog/llrt-aws-lambda-javascript-runtime)、[Shopify](https://shopify.engineering/javascript-in-webassembly-for-shopify-functions)、そして [Figma](https://www.figma.com/blog/an-update-on-plugin-security/) は、いずれもプラットフォーム上で信頼できないコードを実行するために WASM を採用しています。これは、[WebContainers](https://blog.stackblitz.com/posts/introducing-webcontainers/) や [wasmtime](https://wasmtime.dev/) といったツールの背後にあるのと同じ分離モデルです。 ## QuickJS WASM がサンドボックスを提供しますが、その内部でコードを実行するものも必要です。それが [QuickJS](https://github.com/quickjs-ng/quickjs) の役割です：純粋な C で書かれた、小さく高速で ECMA 準拠の JavaScript エンジンです。サイズが小さいため、境界線内の信頼済み領域（trusted surface）を最小限に抑えられ、WASM へもクリーンにコンパイルできるため、エンジン自体が境界線の隣ではなくその背後に位置します。また、JavaScript はこの作業にも適しています：コンパイルステップなしでオーケストレーションロジックを記述するのに十分な表現力があり、これはエージェントが生成する短いプログラムのまさに形です。 ## Capability isolation 実行境界は、エージェントがホストを侵害することを防ぎますが、何を行うことを「許可」されているかについては何も語りません。エージェントの有用性と危険性は、私たちが付与する機能（capabilities）次第です。 結婚式を計画するエージェントを想像してください。有用であるためには、あらゆる場所から機密データ（契約書、RSVP 返信、家族グループチャットなど）を読み取り、外部でそれに基づいて行動する必要があります（ベンダーへのメール送信、入金の承認など）。各機能は単独では妥当ですが、これらを一つの自律的なループに組み合わせると、たった一つの敵対的な RSVP によって、プライベートな予算が読み取られ、ベンダーへ「承認された」変更をメールで送られてしまう可能性があります。 Meta の [ルール・オブ・ツー](https://ai.meta.com/blog/practical-ai-agent-security/) はこの制約を捉えています：プロンプトインジェクションの問題が解決されるまで、エージェントは以下のうち 2 つ以上のことは行ってはなりません： - 機密データにアクセスする - 信頼できないコンテンツに晒される - 状態を変更したり外部と通信したりする ここが、インタプリタと従来のサンドボックスが最も分かれる点です。サンドボックスはコンピュータの形（ファイルシステム、依存関係、シェルなど）からスタートするため、そのセキュリティ作業は*減算的*になります：広範な権限から始めて、それを徐々に剥ぎ取っていくのです。一方、コードインタプリタは何もない状態からスタートします。そのままではファイルを読み込めず、ネットワークリクエストを送信できず、依存関係もインストールできません。持っているのは言語そのものだけです：変数、関数、オブジェクト、ループ、条件分岐など。より強力な機能はすべて、ハネスを通じて意図的に橋渡しされます。 ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a43cb23fa111c5567cb26d0_langchain-tonik.webflow.io_generators_table%20(2).png) 橋渡し機能の最も明確な例は、[コード内でサブエージェントを呼び出すこと](https://www.langchain.com/blog/introducing-dynamic-subagents-in-deep-agents)です。プロセスマネージャやネットワークスタックの代わりに、エージェントは狭い契約を持つ関数を受け取り、ハネスが実行を担当します。この橋渡しを私たちが所有しているため、その制限も私たちが設定します：同時に実行できるサブエージェントの数、および単一の呼び出しで生成できる数の上限です。 ## Durable pauses 実行の隔離と機能制限により、実行中のプログラムは安全に保たれます。最後の要件は、それを「生きた状態」で維持することです。本番環境向けのエージェントは、危険な行為を行う前に停止して人間の承認を待つ必要がありますが、その承認は数秒後、数時間後、あるいは数日後に来ることもあり、エージェントがプロセスから退去したずっと後のことにもなり得ます。では、半分の状態でプログラムを長く一時停止し、どこで止まったかを正確に再開するにはどうすればよいのでしょうか？ QuickJS は WASM 内で実行されるため、プログラム自体を再構築するのではなく、プログラムそのものを一時停止できます。インタプリタの線形メモリを LangGraph の状態にシリアライズし、再開時にはハネスがスナップショットを復元して、それを待っていた呼び出しに戻す結果をフィードバックします。プログラム側からは、応答までに時間がかかった非同期呼び出しとしてしか見えません。 ## Try it この仕組みを支える 2 つのパッケージが現在公開されています（どちらも実験段階です）： - quickjs-rs — WASM を通じて QuickJS を実行するためのランタイムおよび Python バインディング。 - langchain-quickjs — quickjs-rs を基盤とした Deep Agents のミドルウェア。 これらの本番環境への導入に向けて数社の緊密なパートナーと協力しており、その展開から得た教訓をもとにランタイムの強化を進めています。インタプリタが実際に何を実現できるかを知りたい方は、[Dynamic Subagents](https://www.langchain.com/blog/introducing-dynamic-subagents-in-deep-agents) に関する当社の投稿をお読みいただくか、ぜひご自身でお試しください！ uv add deepagents langchain-quickjs from deepagents import create_deep_agent from langchain_quickjs import CodeInterpreterMiddleware agent = create_deep_agent( model="baseten:zai-org/GLM-5.2", middleware=[CodeInterpreterMiddleware()] ) ## Related content ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a4293b98a5fbb8e632a9116_98.png) Open Source Deep Agents Agent Architecture ## Introducing Dynamic Subagents in Deep Agents ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/69dcee60745f0e15b18ad4d5_sydney-runkle.png) ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/69e12775881c2a7fc9aba41e_colin-francis.png) ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/69e12735c02bb07c894a067a_hunter-lovell.png) S. Runkle, C. Francis, H. Lovell June 29, 2026 9 min ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a3e6581ba3e85f557ce03f8_Frame%202.png) Deep Agents Open Source ## Prompt Caching with Deep Agents ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a3e65a4b54e1ed97f77c655_me.jpeg) Alex Olsen June 26, 2026 5 min ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/6a317b118693f5be4a8e220f_97.png) Deep Agents Open Source Agent Architecture ## ループ工学の芸術 ![image](https://cdn.prod.website-files.com/65c81e88c254bb0f97633a71/69dcee60745f0e15b18ad4d5_sydney-runkle.png) シドニー・ランクル 2026 年 6 月 16 日 7 分 ## エージェントが実際に行っていることを確認する LangSmith は、開発者がエージェントのすべての意思決定をデバッグし、変更の評価を行い、ワンクリックでデプロイできるためのエージェント工学プラットフォームです。

サンドボックスなしで不審なコードを実行する深層エージェントの仕組み

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト