AIエージェントに承認なしでコマンド実行・ファイル書き込み・外部送信を任せた瞬間、失敗したときの被害範囲——ブラスト半径——は与えた権限の広さに比例して膨らむ。この問題は単発のサンドボックス選定だけでは解決しない。Anthropicは自社製品群の封じ込め設計をエンジニアリングブログで公開し、環境層・モデル層・外部コンテンツ層という3層の切り分けと、製品ごとに隔離強度を変える判断基準を明らかにした。本記事はその一次情報を基に設計原則を整理する。本記事はAIエージェントガバナンスのピラーコンテンツに連動します。
なぜAIエージェントに「封じ込め」設計が必要なのか
ブラスト半径は失敗確率と最大被害の掛け算で決まり、エージェントの権限拡大とともに理論上際限なく増大します。
モデル単体の確率的な防御には限界がある。Anthropicの計測では、Claude Opus 4.7は単発の攻撃に対するプロンプトインジェクション成功率が約0.1%だが、同一エージェントに100回の適応的攻撃を許すと5〜6%まで上昇する。「モデルが十分賢くなれば防御は不要になる」という前提は成立しない。エージェントが読み込むWebページ・メール本文・Issueコメントなどプロンプトインジェクションの入口が増えるほど攻撃機会も増え、モデル層の確率的防御だけに依存する設計はいずれ突破される。突破された後に被害を機械的に止める、決定論的な層が要る。
3層防御モデル——環境層・モデル層・外部コンテンツ層とは何か
Anthropicは環境層・モデル層・外部コンテンツ層という3層でエージェントを封じ込めています。
| 層 | 性質 | 主な実装 |
|---|---|---|
| 環境層 | 決定論的 | gVisorコンテナ、seccompフィルタ、VM分離、ネットワーク送信先の許可リスト、ファイルシステムの読み取り専用/読み書き/削除不可モード |
| モデル層 | 確率的 | システムプロンプト、分類器、訓練された挙動ガードレール、実行前のアクション検査 |
| 外部コンテンツ層 | 実行時制御 | ツール権限の粒度設定、MCPサーバーの監査、コンテキストへ注入する前の出力検査 |
Anthropicが明言する設計原則は「環境層で先に封じ込め、その上でモデル層の挙動を制御する」という順序だ。決定論的な境界は、確率的な防御がすり抜けたケースを機械的に食い止める最後の砦になる。サンドボックス技術の選定自体は環境層の一部にすぎず、3層をどう組み合わせるかが設計の本題になる。
claude.ai・Claude Code・Cowork——製品ごとに封じ込め設計はどう変わるか
同じ3層モデルでも、想定ユーザーの技術力に応じて3製品は隔離強度を変えています。
claude.aiはサーバー側のgVisorコンテナでセッションごとにファイルシステムをエフェメラル化する。ユーザーのローカル環境ではなくAnthropic側のインフラを守る設計であり、そもそも与えられる権限範囲が小さい。
Claude Codeはローカル実行が前提のため、macOSのSeatbelt、LinuxのbubblewrapといったOSレベルのサンドボックスを使う。書き込み・bash実行・ネットワークアクセスにはユーザー承認を要求するが、通常ワークフローでは提示された権限プロンプトの93%が承認されており、この慣れが誤承認のリスクを生む。auto modeは高速フィルタ（1段目、誤検知率8.5%）と推論による再評価（2段目、誤検知率0.4%まで低減）の2段階分類器で自動承認の可否を判定するが、52件の実際の過剰行動サンプルに対する評価では約17%を見逃したとAnthropicは報告している。Claude Codeの権限設計はこの前提の上に成り立つ。
Coworkは非技術者の知識労働者を想定し、封印されたVMによる仮想化分離を採用する。ユーザーが選択したワークスペースだけをマウントし、認証情報はホストのキーチェーンに残したままVM内には渡さない。エージェントのループ自体はVM外で動き、コード実行だけをVM内に隔離することで、ユーザーの技術判断力に依存しない境界を提供する。
封じ込めを破られた実例から何を学ぶべきか
設定ファイルの解析順序や許可済みドメインの悪用など、Anthropicが発見した抜け穴が落とし穴を示します。
Anthropicが公開した3つの実例は、封じ込め設計の弱点がどこに現れるかを具体的に示す。
- 信頼確立前の実行リスク：設定ファイルがユーザーの信頼確認プロンプトより先にパースされ、承認前にコードが動く欠陥があった。修正は「ユーザーの同意が確定するまで設定ファイルのパースを遅延させる」という順序変更にすぎない。
- 信頼済みユーザー経由の間接注入：攻撃者本人ではなく、信頼されたユーザーの入力を経由してインジェクションを仕込むテストでは、25回中24回のデータ持ち出し試行が成功した。モデル層の防御が破られても、ネットワーク送信先の許可リストと認証情報の隔離という環境層の制御は機能し続けた。
- 許可済みドメインの悪用：悪意あるファイルが「許可済み」のAPIエンドポイントを正規に呼び出す形でデータを持ち出した。対策としてAnthropicはVM内に防御用の中間者（MITM）プロキシを配置し、通信内容を検査してセッショントークンを検証する仕組みを追加した。
Anthropicは「独自ビルドの隔離機構より、実戦で攻撃され続けてきたハイパーバイザー・システムコールフィルタ・コンテナランタイムを使う方が安全」という指針も明言している。自社実装のサンドボックスを一から作るより、実績のある基盤技術を組み合わせる設計判断が優先される。
規模別の留意点（SMB / エンタープライズ）
SMB
SMBは自前でサンドボックスを実装する必要はなく、業務内容に応じた隔離強度の製品選定が現実的な着手点です。
非技術者向けの業務には封印VM型（Cowork相当）、開発者向けの業務には承認フロー付きローカル実行（Claude Code相当）というように、どの製品がどの隔離強度を持つかを理解した上で使い分けるだけで十分なリスク低減になる。Kuuの AIオペレーション支援では利用シーンに応じた製品選定と権限設計のレビューを行っている。
エンタープライズ
エンタープライズが自社でエージェント実行基盤を内製する場合は、環境層を実戦済み技術で固め、モデル層はあくまで補助と位置づけます。
自社基盤を内製するなら、環境層はgVisorやFirecrackerなど実戦済みの技術で固め、分類器などのモデル層はあくまで補助として扱う。ネットワーク送信先の許可リストと認証情報の隔離は、モデル層の防御が突破されても機能する独立した最後の砦として、個別に検証する必要がある。大規模なエージェント基盤の設計はRDEサービスが支援する。
参考
- How we contain Claude across products — Anthropic Engineering
- How we built Claude Code auto mode: a safer way to skip permissions — Anthropic Engineering
まとめ
封じ込め設計の核心は、モデルを賢くする努力と並行して決定論的な境界を環境層に置くことにある。環境層で先に食い止め、モデル層で挙動を制御し、外部コンテンツ層でツール権限を絞る——この順序と、製品や利用者の技術力に応じた隔離強度の使い分けが、ブラスト半径を実務的に抑える設計の基本線になる。
エージェントの封じ込め設計をガバナンス体制として組織全体に定着させたい場合は、AIオペレーション支援サービスへのお問い合わせをお待ちしています。