Modal のサンドボックス：エージェントに壊してよい一台を渡す

AI エージェントにコードを走らせる力を与えるのは簡単だ。安全な場所で走らせるのは簡単ではない。2026 年 10 月 1 日、Modal Labs はエージェント向けの完全な VM サンドボックスを公開した。各エージェントに、触れてはならぬものに触れずにコードや道具を走らせる完全な計算機を渡す。これはモデルの発表ではなく基盤の発表であり、エージェントの物語で最も頑固な問題の一つに対処する。

問題は簡単に言える。話すだけのエージェントは無害だ。行動できるエージェントは行動する場所を要し、それが行動しうる場所、本番データベースから開発者自身の機械まで、まさに壊されては困る場所だ。サンドボックスはそれを解決しようと、エージェントに使い捨ての世界を与える。そこでは失敗は再起動以外の代償を要さない。

なぜコンテナでは足りないことがあるか

多くのエージェント実行環境はすでに何らかの形でコードを隔離する。たいていはコンテナだ。コンテナはエージェントが箱の外へさまようのをよく防ぐが、ホストとカーネルを共有し、中身が予測不能なときには重要な形で漏れうる。完全な VM は重いが厳しい。エージェントは自前の OS、ファイルシステム、ネットワーク視界を得て、隔離はより低い層で成り立つ。

日常作業のエージェントには差は現れないかもしれない。任意の生成コードを走らせ、ネットから取り込み、依存を入れるエージェントには、差がすべてだ。サンドボックスはエージェントを速くするためのものではない。エージェントが予想外のことをしたとき、爆発半径を使い捨ての一台に収めるためのものだ。

{{INLINE1}}

この発表の背後の流れ

Modal の時機はより広い転換を映す。エージェントはデモからパイプラインへ移り、パイプラインに入れば本物の権限を持つ。エージェントが資格情報を握った瞬間、どこで動くかは便利さではなく安全の問いになる。ここ数か月、サンドボックス、権限、ガバナンスの道具が続々現れたのはそのためだ。業界はエージェントを配備可能にする退屈な部分を作っている。

名指しすべき皮肉がある。見出しを取るのはモデルだが、エージェントが信頼されるかを決める層は平凡な工学でできている。セッションをまたいで文脈を保つメモリ、失敗を封じるサンドボックス、ユーザーが何に同意したかを記録する同意プロトコル。どれもデモでは映えないが、どれも玩具と企業が本当に動かすものの違いだ。

導入前に問うべきこと

すべてのサンドボックスが同じではない。問いは実務的だ。起動はどれだけ速いか、遅いコールドスタートは毎回の呼び出しを待ち時間に変える。何に到達できるか、タスクごとに閉じられるか。終了時に状態はどうなるか、どこまで記録されるか。信頼できないコードに確実に耐えるか、行儀のよいスクリプト向けに調整されているか。答えが、それが本物の境界か形式かを決める。

最強のサンドボックスは中身が敵対的か壊れていると仮定し、どちらも外へ出ないよう設計される。これは人がいじる開発環境とは別の設計目標だ。エージェント作業では敵対の仮定が正しい。生成コードは本質的に予測不能で、エージェントは完全には制御できない出所から指示を受けるからだ。

エージェントスタックの他の部分との噛み合い

サンドボックスはエージェント基盤という大きな議論の一片だ。エージェントは続きから再開するためのメモリ、触るべきものだけに触る権限、失敗を封じる実行場所を要する。それぞれが独立した関心事で、それぞれがこの一年で独自の道具の波を生んだ。サンドボックスは封じ込めの部分で、エージェントが自律性を増すほど重要になる。

それが趨勢線だ。初期のエージェントは一歩ずつ動き、各歩を人が承認した。方向は、より長く動き、より多く行動し、より少ない監督を要するエージェントへ。自律性が高いほど、人が捕まえることに依存しない境界が要る。完全な VM はコンテナより重い道具で、その重さを払う理由はまさに監督への依存をやめることだ。

ほとんど語られない費用の次元もある。サンドボックスは安全にするだけでなく、試すことを安くする。新しい機械を立ち上げ、壊し、捨てられるエージェントは、失敗を無料として扱う。これはエージェントの働き方を変える。より実験的になり、多くの方法を試し、行き止まりから人が片付けずに回復できる。封じ込めと実験は、同じ特徴を二つの角度から見たものだ。

どんなサンドボックスにも効く一つの試験

導入前に簡単な実験を。なじみのないパッケージを入れ、ネットから取り込み、ディスクに書くタスクをエージェントに与える。そしてサンドボックスが何を見えるか観察する。誤って社内ネットワークに届くか。落ちたジョブは何かを残すか。新しいインスタンスの起動にどれだけかかるか。答えは速く、隔離が本物か見せかけかを露わにする。

次に故意に壊す。逃げようとするコード、バックグラウンドプロセスを生むコード、ループに陥るコードを食わせる。良いサンドボックスはすべてを想定内として封じ込める。弱いものはぶら下がるか、漏れるか、倒れる。こう試す姿勢自体が、エージェント安全を本気で扱うチームの印であり、本番で限界を知るよりはるかに安い。

見た目より重要な理由

有用なエージェントのボトルネックは知能から信頼へ移った。モデルは多くの実務をこなせるほど有能で、もっとやらないのは、人が鍵を渡す気になれないからだ。サンドボックスはその心地よさを変える道具の一つで、慎重な運用者が最悪の場合を封じ込めた形で動かせるようにする。

こうした発表がニュースで話題になることはない。過去一年の野心的なエージェントのデモが、誰も見ていない火曜日に動くものになるかを決める配管だ。エージェントで作るなら、ここに注意を注ぐ価値がある。封じ込められないエージェントは信頼されず、信頼されないエージェントは配備されない。