こんにちは、CSC の CloudFastener というプロダクトで TAM のポジションで働いている平木です！
今回は、日本発の世界トップクラスの専門家による最先端の技術研究が発表される国際的なサイバーセキュリティカンファレンス、CODE BLUE に参加してきたため参加レポートを執筆します。
「AI エージェント SaaS を安全に提供するための自社サンドボックス基盤」の概要
- Speakers: GMO Flatt Security 株式会社 pizzacat83 氏
- Category: OpenTalks
- Location: Track 2(HALL A)
AI エージェントが自律的にファイルの読み書きやコード実行を行う際、意図しない振る舞いによるセキュリティリスクを制御するためには、サンドボックス化が有効です。
本講演では、マルチテナントの AI エージェント SaaS「Takumi byGMO」を安全に提供するため、軽量な VM を高速にプロビジョンできる独自のサンドボックス基盤の開発と採用技術（Firecracker）について紹介します。
実践的な知見として、実際に社会実装されている AI エージェントのセキュリティを支える実行環境やエージェント設計に焦点を当てます。
セッションレポート
AI エージェントを最大限活用する鍵は自律性と隔離ということを本セッションでは理解いただくための内容が解説されています。
GMO Flatt Security のような、AI エージェントを提供するプロバイダーとしてサンドボックス環境を如何に早くセキュアに構築したかを解説しています。
pizzacat83 氏の講演スライドより
AI エージェントは様々な操作を人間の介入なしに実行でき便利な反面、意図しない破壊的な行動をとってしまうリスクがあります。
例えば、重要なリポジトリのソースコードを削除するような破壊的な行動をとってしまったり、機密情報を公開する形で実装してしまったりなどです。
その対策としてよく見るもので、人間に「これやってもいいか？」という承認を求める仕様を見かけることが特にコーディングエージェントなどではあるが
- AI の自律性が損なわれてしまう
- 何回も承認操作を行うことによる、承認自体の形骸化のリスク
が発生してしまうことが考えられます。
pizzacat83 氏の講演スライドより
AI エージェントを最大限活用しつつ、セキュリティを犠牲にしないためには、適切な権限を割り当てたり、環境へのアクセスを制限したりすることで損害の範囲を許容範囲内にできます。
| エージェントが扱う情報 | 外部アクセス権限 | 損害の許容範囲かどうか |
|---|---|---|
| 機密文書 | インターネットアクセスなし | 許容できる |
| 機密文書 | インターネットへのフルアクセス | 許容できない |
| 公開ウェブページ | インターネットへのフルアクセス | 許容できる |
インターネットへのアクセスがない環境で自由に動作するように制限すれば、
人間の承認なしでセキュリティを犠牲にすることなく、これを実現できます。
pizzacat83 氏の講演スライドより
コンピューティング環境を持つ AI エージェントを考えたとき、
ローカル AI エージェントの場合、内部リソース全てにアクセスできる可能性があります。
クラウドホスト型 AI エージェントの場合、エージェント A でアクセスできるリソースにエージェント B もアクセスできるといった可能性があります。
その解決策として、サンドボックス化の必要性が出てきます。
pizzacat83 氏の講演スライドより
サンドボックス内に必要な情報のみを保管し、隔離を行うことが求められます。
この際、何に基づいて隔離すべきかという点では、権限の境界を考えることがヒントとなります。
- 横の権限を考える
- エージェント A とエージェント B で参照できるものが違う
- 縦の権限を考える
- テナント A のユーザーは強い権限を持てるがテナント B のユーザーはそれより小さい権限の中でのみ操作させる
など、エージェントがどこに対してアクセスできるかの権限の境界を定義することが、隔離を考える上で重要となります。
pizzacat83 氏の講演スライドより
2 つのエージェントが PR を作る動作を考えたとき、適切な隔離を行わないとエージェント同士の操作によって衝突が発生することもあります。
適切に隔離を行わないと、セキュリティは担保できても適切な動作を行えなくなってしまう可能性を考慮する必要があります。
pizzacat83 氏の講演スライドより
AI エージェントをサービスとして提供するにあたっては、
- VM レベルの隔離を行う高いセキュリティ
- 数秒で起動する高速性
- マルチテナント共有可能な効率性
- エージェントごとの隔離による安定性
といった技術的にはチャレンジング（困難）な課題をクリアする必要があります。
pizzacat83 氏の講演スライドより
Takumi の開発中にこのサンドボックス化の課題について直面し、どのような技術を採用していったかをこの後解説されています。
Takumi は 2 つの主要なセキュリティ監査のアプローチを採用しています。
- ホワイトボックス診断
- GitHub からリポジトリをクローンしてコードを診断
- ブラックボックス診断
- 動作しているアプリケーションに対して診断
pizzacat83 氏の講演スライドより
pizzacat83 氏の講演スライドより
AI エージェントの隔離を実現するための選択肢として 3 種類あげています。
- 仮想マシン
- 高い隔離性を持つが、オーバーヘッドが大きい
- コンテナ
- 隔離性は低いが、オーバーヘッドが少なく開発環境として普及している
- Claude Code は公式の開発コンテナを提供している
- そのほか
- Anthropic や OpenAI（Codex）、Google（Gemini CLI）など、主要な AI エージェント提供者が実際に使用している OS レベルの隔離メカニズム
pizzacat83 氏の講演スライドより
サンドボックス基盤の構造としては画像の通りで、
AI エージェントからリクエストが来たら、API サーバーよりリクエストを転送し VM ノードを立ち上げる構造となっています。
特徴的な面として、
- 軽量で高速な VM モニタであるFirecrackerを使用して、高い隔離性を実現する VM を多数作成している
- VM をノード（プール）単位で管理し、API サーバー経由でエージェントに割り当てている
- ノードを増やすことで、水平方向（Horizontally）に容易に処理能力を拡張できる設計になっている
pizzacat83 氏の講演スライドより
Firecracker とは、AWS によってメンテナンスされている OSS の仮想化技術のことで、Lambda にも採用されているものです。
パフォーマンスの高さと高いセキュリティを両立した技術であり、最小限の機能に絞られているためアタックサーフェイスも小さいことが挙げられます。
pizzacat83 氏の講演スライドより
AI エージェントをサンドボックス化するためのアーキテクチャとして 2 種類挙げられています。
-
- Agent in box (エージェントを隔離)
- エージェント全体（推論と実行環境）を単一のサンドボックスで隔離する
- Dev Container で Claude Code を動かすイメージ
-
- Action in box (操作だけを隔離)
- 推論を行う LLM 自体はサンドボックス外にあり、LLM が決定したアクションのみをサンドボックス内で隔離する
- Devin のようなイメージ
pizzacat83 氏の講演スライドより
AI エージェントの内部構造としては、以下の図のようなイメージです。
LLM 自体がコードを実行しているのではなく、LLM からの提案を受け、エージェントの実装ロジックにより実際のコード実行が行われていることが分かります。
そのため実行ツール部分は置き換え可能であり、例えば人の承認を挟んだりコンテナを起動したりなど、 LLM と紐づくものではなく、LLM（推論）と実行環境（アクション）は明確に分離しています。
pizzacat83 氏の講演スライドより
ではなぜ Action in box (操作を隔離) を選ぶのかというと、LLM API Key に焦点を当てると見えてきます。
Agent in box の場合、API キーも一緒に隔離しなければならず、攻撃者がキーにアクセスする機会を得てしまい漏洩のリスクが生じます。
しかし Action in box の場合、LLM API キーはサンドボックス環境の外側で管理されており、サンドボックスの実行環境は隔離されていることから LLM へのアクセスもできないため、API キーは適切に保護された状態となる。サンドボックス環境に入れるべきものを最小限にできるといったメリットがあります。
pizzacat83 氏の講演スライドより
ただし、内部を隔離することができないクローズドソースの AI エージェントを実行する際には、Action in box が適している場合もあります。
最後まとめとして、AI エージェントにおける隔離の重要性と隔離のためのアプローチを紹介した旨で締めくくりました。
pizzacat83 氏の講演スライドより
まとめ
こちらのセッションでは、
AI エージェントの隔離の重要性とそのアプローチや技術的な側面
について詳しく知ることができました。
この記事がどなたかの役に立つと嬉しいです。
Discussion