「AIエージェントが書いたコードを、そのまま手元のマシンで実行していいのか」。ハッカーニュースに、この疑問への一つの答えが投稿されました[1]。テックリードになりきる(Cosplay as a tech lead)をうたい、タスク管理のカンバンボードとgVisorという隔離技術を組み合わせた個人プロジェクトです。GitHubでは「MIKE」の名で公開されています。注目数はわずか3点ながら、コメントは11件に達しました。同じことを試している開発者が、相次いで名乗りを上げています[1]。
動きはシンプルです。ボードのカードが1枚1タスクで、スタートを押すとLLMの処理ループが回ります。開発者いわく、ボードからLLMへ仕事を押し込み、失敗まで含めて面倒を見ることこそが存在理由です。ローカルモデルの推論では、道具の呼び出し失敗や、ループにはまり込む事故が起きがちです。自動リトライでこれを持ちこたえさせるといいます。投稿には「まさに探していた」という声も付きました。使い捨て環境には既存の作業ボードが重すぎると悩み、タスクを確実に引き継ぐ土台を求めていた開発者です[4]。LLMが止まったときにタスクを失敗扱いにして、後でやり直せるようにしたい、という要望も添えられています[4]。一方で「趣味プロジェクトでgVisorを使うのは嬉しい」という反応も届いています。
個人までが隔離に凝る背景には、厳しい数字があります。企業の83%がAIエージェントの導入を計画する一方[2]、2025年のVeracodeレポートでは、AI生成コードの45%がセキュリティテストに不合格でした[5]。従来は開発者が全行を確認できましたが、エージェントは指示ごとにコードを動的に生み出します[2]。脅威は二層構造です。第一は、暴走や不具合のあるコードがホスト側へ逃げるのを防ぐ、実行の隔離。第二は、命令に細工してAIを誘導するプロンプトインジェクションや、エージェントの使う道具に仕掛けを施す攻撃で、コードが動く前に企てるものです[5]。標準コンテナはホストのカーネルを共有するため、この防波堤としては不十分と指摘されています[2]。
選択肢は2026年に入り、4つに整理されました[5]。標準コンテナは速いけれど弱い。gVisorは、エージェントがOSに出す要求を横取りして検査してから通す防御層で、中程度のオーバーヘッドがかかります[5]。Firecrackerは仕事ごとに専用カーネルを持つ軽量仮想マシンで、125ミリ秒で起動します[5]。WebAssemblyはオーバーヘッドほぼゼロで、許可された機能しか使えない作りです[5]。Kubernetes側も動きました。公式のagent-sandboxが、仕事の進行管理と隔離方式の選択を切り離す仕組みです[5]。gVisorと組み合わせた安全な運用を解説する記事も増えています[6][7]。実運用では、リソース制限やネットワーク制御、権限の絞り込み、監視を重ねる多層防御が求められます[2]。仮想マシン型の隔離とgVisorを組み合わせた基盤を、サービスとして提供する動きもあります[2]。
しかし、この分野はまだ「ごく一部の人の趣味」のようです。「仲間は少ないようだ」というやり取りが投稿欄に残っています。別の開発者はgVisorの上にマルチエージェント管理を構築しました。Kubernetesを1台のマシンで動かす構成で、外への通信を中継して検査する仕組みと、認証情報の分離には「かなり苦労した」と明かしています。リポジトリの複製を作業ツリーから参照クローンへ切り替えると隔離が強まる、という知見も共有されました。ただし従来方式をしっかり固めれば差は限定的かもしれない、という指摘もあり、評価は割れています。堅牢さを上げるほど、手間と速度が犠牲になる。その綱引きのただ中にあるのが現状です。
日本のXでも「OpenAIのAI」[3]と「ClaudeDuet」がトレンドに浮上しました。Claude DuetはAnthropicの、先回りして動くタイプのエージェントで、早くもレビュー記事が登場しています[6]。エージェントが自律的に動くほど、隔離は後から付ける飾りではなく、前提の装備になります。カンバンで仕事を回し、gVisorで囲う。個人の小さな実践が、その標準装備の形を先に見せているといえるでしょう。
RECENT COMMENTS