AIエージェントに安全な「作業部屋」を量産する技術が登場

AIエージェントが自律的にコードを書いて動かすワークフローが当たり前になりつつある今、見えづらくなっているリスクがある。生成されたコードがシステム本体に直接アクセスしたり、想定外の副作用を起こしたりする問題だ。

GoogleとAnyscaleが今回発表したのは、この問題に正面から向き合う実験的ライブラリ。AI処理の分散実行フレームワークとして広く使われるRayの上で、「gVisor」というサンドボックス技術を使った隔離実行環境をネイティブに展開できるようにした。強化学習（RL）の後処理やエージェントのロールアウト実行など、「動的にコードが生まれ続ける」場面での安全確保が主なターゲットになっている。

日本でいうところの「作業は必ず使い捨ての仮想デスクトップでやる」に近い発想で、1タスクごとに隔離された部屋を用意し、終わったら破棄する。これをクラウド上で大量・並列に実現するのが今回のアプローチだ。

今回の設計で注目したいのは、サンドボックスを「Rayのプリミティブ（基本要素）として扱える」という点だ。

Rayはもともと、GPUやCPUといったリソースを抽象化して分散処理を組むためのフレームワーク。今回のライブラリでは、隔離された実行環境（サンドボックス）をこれらのリソースと同じ感覚でコード上に記述できる。「サンドボックスを10個起動して、それぞれに別のタスクを投げる」という操作が、既存のRayの書き方とほぼ変わらない形で実現できるという設計思想だ。

veRL、NeMo-RL、SkyRLといった強化学習フレームワークがすでにRayを使っていることを考えると、この層でサンドボックスを標準化する動きは業界全体への波及効果が大きい。「エージェントが工具を触る回数が増えるほど、隔離レイヤーが必要になる」という前提が、インフラ設計の常識になりつつある兆しでもある。

AIエージェントを自分で組む流れについては、以前紹介したAIエージェントを自分で組み立てる時代へも参考になる。エージェントの構成要素を把握した上でこの安全レイヤーの話を読むと、どこに差し込む話なのかが見えやすい。

Replit、Cursor、Kiroなどでバイブコーディングをしていて、AIが生成したコードをそのままローカルや本番環境で走らせているケースは多い。今回の発表は直接それらのツールに統合されるものではないが、「なぜ隔離が必要か」という考え方は今すぐ自分のワークフローに適用できる。

発表内容を読むと、サンドボックスが特に重要になる場面として「動的ロールアウト（エージェントが自律的に連続してアクションを実行するプロセス）」「コード生成と実行が交互に起きるマルチターンの対話」「外部ツールとのインタラクション」の3つが挙げられている。これはそのままバイブコーディングの典型シーンと重なる。

AIに生成させたコードを手元で実行するなら、最低限の隔離として「Dockerコンテナ内で動かす」「仮想環境を毎回作り直す」といった慣習をすでに持っている人は多いはずだ。今回の発表はその延長線上にある考え方で、それをクラウド規模・エージェント規模に引き上げたもの、と理解するとスムーズだ。

AIによるコードの脆弱性リスクについては、AIがコードの脆弱性を自動で探す時代でも触れているので、合わせて読んでおきたい。