エージェント

サンドボックス化とは

Sandboxing

AIエージェントのコード実行やツール利用を、隔離された安全な環境内に限定する仕組み

ひとことで言うと

AIにコードを実行させるとき、影響が外に漏れない専用の隔離部屋の中だけで動かす仕組み。

概要

サンドボックス化は、AIエージェントが生成・実行するコードやツール呼び出しを、ホストシステムや本番環境から隔離された制限付きの実行環境(サンドボックス)の中でのみ動作させることで、意図しない挙動やバグ、悪意あるコードがシステム全体に影響を及ぼすことを防ぐ仕組み。コンテナや仮想マシン、専用の実行時制限機構などを使い、ファイルシステムへのアクセス範囲、ネットワーク通信の可否、実行時間やメモリ使用量の上限といった項目を細かく制御することで、エージェントが実行するコードの影響範囲を限定する。 LLMが生成するコードには、意図しない無限ループや、誤ってシステムファイルを削除するような操作、外部への予期しない通信などが含まれるリスクがある。サンドボックス化は、こうしたリスクが実害となる前に食い止める最後の防衛線として機能する。 Code InterpreterやAIエージェントのコード実行機能の多くは、内部でこのサンドボックス化された実行環境を利用しており、AIエージェントを安全に運用するための基盤技術の1つになっている。

背景

AIエージェントにコードの生成・実行を任せる用途が広がる一方、生成されたコードが意図通りに安全であるとは限らず、バグや誤動作、悪意ある入力による不正なコード実行のリスクが常に存在する。サンドボックス化は、コードの実行環境自体を隔離することで、たとえコードに問題があってもその影響を限定された範囲内にとどめる目的で導入されている。

歴史

サンドボックス化自体は、chrootやコンテナ、Javaアプレットのセキュリティモデルなど、ソフトウェア全般で長く使われてきた実行環境の隔離手法に由来する。 2020年代: LLMエージェントによるコード生成・実行機能の普及に伴い、AIエージェント向けに特化したコード実行サンドボックス(E2Bなど)を提供するサービスやライブラリが登場した。

アーキテクチャ

サンドボックス環境は、Dockerなどのコンテナ技術や軽量仮想マシンを使い、ホストOSのカーネルやファイルシステムから隔離されたプロセス空間を用意する形で構築されることが多い。 CPU時間、メモリ使用量、ディスク容量、ネットワークアクセスの可否といったリソースの上限を実行前に設定し、それを超えた場合はプロセスを強制終了する。エージェントが生成したコードはこの隔離空間の中でのみ実行され、標準出力・標準エラー・生成ファイルなど、あらかじめ許可された経路を通じてのみ結果がホスト側へ返される。

ワークフロー

AIエージェントが実行したいコードやコマンドを生成する。そのコードを、ファイルシステム・ネットワーク・実行時間などが制限されたサンドボックス環境(コンテナや仮想マシンなど)へ送り、実行する。実行結果(標準出力やエラー内容)だけをエージェントへ返し、サンドボックス外への影響がない状態を保ったまま次のステップに進む。

コード例

E2Bでのサンドボックス化されたコード実行

from e2b_code_interpreter import Sandbox

with Sandbox() as sandbox:
    execution = sandbox.run_code("print(1 + 1)")
    print(execution.logs.stdout)

利点

生成されたコードにバグや意図しない挙動があっても、影響をサンドボックス内に限定できる
ファイルシステムやネットワークへのアクセス範囲を細かく制御でき、被害の範囲を最小化できる
AIエージェントのコード実行機能を、本番環境へのリスクを抑えながら提供できる

欠点

サンドボックス環境の構築・維持に、追加のインフラと運用コストがかかる
制限を厳しくしすぎると、エージェントが本来必要とする正当な操作までブロックしてしまうことがある
サンドボックスからの脱出(コンテナエスケープ等)を狙う攻撃手法への対策も別途必要になる

比較

Code Interpreter — Code Interpreterは、内部でサンドボックス化された実行環境を使ってコードを安全に実行する機能
ガードレール — ガードレールが入出力の内容を制御するのに対し、サンドボックス化は実行環境そのものを隔離する
Human-in-the-Loop — サンドボックス化とHuman-in-the-Loopは、いずれもAIエージェントの実行リスクを抑える設計手法として組み合わせて使われる

よくある質問

サンドボックス化とガードレールの違いは？

ガードレールはLLMの入出力の内容を監視・制御する仕組みであるのに対し、サンドボックス化はコードやツールの実行環境そのものを隔離し、実行結果がシステム全体へ及ばないようにする仕組み。

サンドボックス化はどうやって実現する？

コンテナ(Dockerなど)や仮想マシン、専用の実行時制限機構を使い、ファイルシステムへのアクセス範囲やネットワーク通信、実行時間・メモリ使用量の上限を制御する形で実現されることが多い。

参考文献

GitHube2b-dev/E2B