Engineering · アーキテクチャ
agens のサンドボックス実行 — チャット型と実行型エージェントを分けるもの
AIが『提案』で止まらず実際に業務を『実行』するには、タスク単位で隔離された使い捨ての作業環境＝サンドボックスが要る。これがチャット型と実行型を分ける決定的な差です。
要点
- ✓チャット型は提案・下書きを返すまで。実行型はツールを操作して業務そのものを完了させる。
- ✓自律的に実行するには、隔離された安全な作業場（サンドボックス）が不可欠。
- ✓agens はタスクごとにサンドボックスを起動し、MCP で必要なツールにだけ接続。終了後は破棄する。
- ✓成果は会社の資産（Folders / Files）として残り、全操作は監査・巻き戻しできる。
- ✓2026年、Anthropic も OpenAI も実行環境を隔離する設計に収束。サンドボックスは“実行型の前提”になった。
- ✓サンドボックスはオンプレミス／国内リージョンでも動かせる。
なぜ『実行』は難しいのか
多くのAIは、質問に答え、文章や下書きを返すところまでで止まる。だが実務は『請求書を処理する』『データを更新する』『レポートを作って共有する』——ツールを操作して初めて終わる。
難しいのは安全性だ。会社のツールへの権限をAIに渡しっぱなしにすれば、何をされるか分からない。かといって人がコピペで実行するなら自動化の意味は薄い。この『自律的に、でも安全に実行する』を成立させる仕組みが、サンドボックスです。
チャット型と実行型は何が違うのか
サンドボックスとは何か
サンドボックスは、AIがタスクを遂行するための『隔離された使い捨ての作業環境』です。タスクごとに起動し、その中だけでツールを操作し、終わったら破棄する。
鍵は『標準権限を渡しっぱなしにしない』こと。必要なツールに、必要なときだけ、必要な範囲で——MCP ゲート経由で限定的に接続します。
サンドボックスの中身
タスクが実行されるまで
2026年、実行はサンドボックスが前提になった
サンドボックスは agens 固有の工夫ではなく、実行型AIの“前提”として業界に定着しました。Anthropic は2025年10月、自社の Claude Code でファイルとネットワークの両方を隔離する仕組みを公開——許可したフォルダ以外は触らせず、許可したドメイン以外への送信を既定で遮断します。同社の報告では、こうした隔離によって人への確認（権限プロンプト）を約84%減らせたとしています。
OpenAI も2026年4月、エージェント基盤を更新し『ハーネスと実行環境（compute）を分離する』設計を打ち出しました。狙いは同じで、モデルが生成したコードを動かす環境に認証情報を置かない、という発想です。実行環境を外部の専用サンドボックス（E2B・Daytona・Modal・Cloudflare など）に委ねる構成も一般的になっています。
agens は、この“実行を閉じ込める”設計を最初から土台にしています。違うのは、実行環境だけでなく成果物・データ・ナレッジ（フォルダ）まで自社内に置ける点、そして国内リージョンやオンプレミスで完結できる点です。
🛡 なぜ安全に任せられるのか
『隔離』『最小権限』『全操作の監査』『巻き戻し』を前提に設計されているからです。AIに固定の強い権限を渡すのではなく、タスクごとに必要な範囲だけを与え、記録を残す。だから自律実行と統制を同時に満たせます。設計の詳しい層立ては「セキュリティ設計」で解説しています。
設計の意味：自律と統制の両立
サンドボックスは単なる技術的な隔離ではなく、『AIに業務を任せられるか』という信頼の土台です。実行を閉じ込め、権限を絞り、すべてを監査・巻き戻し可能にする——現場は自動化の速度を、情シス・経営は統制を、同時に得られます。
agens のサンドボックスはオンプレミスや国内リージョンでも動かせるため、データを外に出せない環境でも実行型エージェントを導入できます。
よくある質問
チャット型のAIとは何が違うのですか？
AIに権限を渡して安全なのですか？
他社のAIツールと、サンドボックスの何が違うのですか？
オンプレミスや国内リージョンで動かせますか？
作業の成果はどこに残りますか？
最終更新: 2026-06