見出し画像

「ITニュース」｜「ネットワーク境界のないサンドボックスは半分のサンドボックス」——Vercelが示したAIエージェントの守り方

まるしょー｜ITニュース分析配信

はじめに

2026年8月11日、Vercelは自社ブログで「AIエージェント実行環境の計算隔離（microVM等）だけでは不十分で、接続先・認証情報・ライフサイクルに応じた権限変化まで含めたネットワーク境界制御が揃って初めて完全なサンドボックスになる」と主張し、自社Sandboxのファイアウォール機能を解説しました。

この記事の読みどころは二つあります。一つは、2026年に入り主要なAIコーディングエージェント（Cursor、OpenAI Codex、Google Gemini CLI、Google Antigravity）で相次いで報告されたサンドボックスエスケープ（隔離環境からの脱出）という背景です。もう一つは、「サンドボックス＝VMやコンテナで囲えば安全」という理解だけでは不十分だという、設計上の考え方です。

※ 本記事で紹介する脆弱性は、いずれも報告時点で該当ベンダーにより修正済みとされているものです。現行バージョンへの直接的な脅威を意味するものではありません。

この記事での用語


1. 何が起きたのか（結論）

  • 2026年8月11日、Vercelはブログ記事「A sandbox without a network boundary is only half a sandbox」を公開し、計算隔離とネットワーク境界制御の両方が揃って初めて完全なサンドボックスになると主張しました。

  • 2026年7月20日から23日にかけて、Pillar Securityが「Week of Sandbox Escapes」シリーズを連日公表し、Cursor（CVE-2026-48124、CVSS 8.5）、Codex CLI、Gemini CLI、Antigravityのサンドボックスエスケープを次々に開示していました。

  • Vercelは2026年2月11日にSNI＋CIDRベースのegressファイアウォール機能をSandboxに追加しており、2026年8月5日にはこのフルegressファイアウォールを無料のHobbyプランにも開放しています。

  • 記事本文は具体的な外部研究名（TrustFall、Pillar Security等）を明示していないため、直接の引用関係は確認できませんが、時期的には符合しています。

忙しい方向けに一言でいうと、
「AIエージェントに"金庫"を与えても、金庫から電話線が伸びていたら意味がない」——計算隔離とネットワーク隔離は別物です。

2. 背景——2026年に相次いだサンドボックスエスケープ

  • 2026年2月11日: Vercelが、SNI＋CIDRベースのegressファイアウォール機能をSandboxに追加しました。

  • 2026年5月7日: TrustFall脆弱性クラスが、Lyrie ResearchとAdversa AIにより公表されました。Claude Code、Gemini CLI、Cursor CLI、GitHub Copilot CLIが対象で、悪意あるリポジトリの`.mcp.json`設定により、MCPサーバーが非サンドボックスのOSプロセスとしてフル権限で起動する問題でした。

  • 2026年5月8日: OpenAIが「Running Codex safely at OpenAI」を公開しました。

  • 2026年7月20日〜23日: Pillar Securityが「Week of Sandbox Escapes」シリーズを連日公表。Cursor（CVE-2026-48124、CVSS 8.5）、Codex CLI、Gemini CLI、Antigravityのサンドボックスエスケープを次々開示しました。

  • 2026年8月5日: Vercelが、Sandboxのフルegressファイアウォールを無料のHobbyプランにも開放しました。

  • 2026年8月11日: 本題のVercelブログ記事が公開されました。

公開情報から読み取れる動機としては、2026年に入り主要AIコーディングエージェントで相次いでサンドボックスエスケープが報告されており、特に7月のPillar Securityの連続開示を経て、業界全体で「計算隔離だけでは不十分」という認識が高まったタイミングでの発信と考えられます。Vercelは同時期（8月4日〜5日）にSandbox公式ドキュメントの更新とHobbyプランへのファイアウォール機能開放を行っており、本ブログ記事はこれら製品発表と連動した解説記事の位置づけと推測されますが、因果関係は公式に明言されていません。

3. ネットワーク境界制御の仕組みと、向けられた相手ごとの期待

Vercelが主張するポイントは、計算隔離（microVMやコンテナでプログラムを閉じ込めること）と、ネットワーク境界制御（どこに接続できるか、どの認証情報を使えるか、実行の段階に応じて権限がどう変化するかを制御すること）は別のレイヤーだという点です。計算隔離だけでは、悪意あるコード実行が外部への通信を通じて認証情報やデータを持ち出すことを防げません。

この記事が向けられている先ごとに、期待されている行動は異なります。

  • AIエージェント開発者・プラットフォームエンジニアに対しては、Vercel Sandboxの採用、または自社実装でも計算隔離とネットワーク制御の両方を設計に組み込むことが期待されていると考えられます。「サンドボックス＝VMやコンテナで囲えば安全」という理解を見直すためのチェックリストとして活用できます。

  • セキュリティ担当者に対しては、AIエージェントを本番環境に導入する際の脅威モデルに「間接プロンプトインジェクション経由のデータ流出」を追加することが期待されていると考えられます。Cursor CVE-2026-48124やTrustFallなど、実際に報告された脆弱性事例を踏まえたリスク評価に活用できます。

  • 競合クラウド・エージェントベンダー（Cursor、OpenAI、GitHub、Anthropic等）に対しては、自社のサンドボックス実装のネットワーク制御の有無・粒度を見直すことを間接的に問いかけている側面もあると考えられます。各社の実装方式（Claude Codeのドメイン許可リスト、GitHub Copilotのファイアウォール適用範囲の限界等）を比較すると、自社が使う製品の限界を把握しやすくなります。

4. 短期・中期・長期の整理

時間軸定義:

  • 短期: 0〜3か月

  • 中期: 3か月〜1年

  • 長期: 1年以上

4-1. 短期（0〜3か月）

  • 予想される動き: 他のAIコーディングエージェント・サンドボックスベンダーが同様にネットワーク境界の重要性を強調する発信を追随するかどうかが焦点になります。GitHub Copilot coding agentの「MCPサーバー・setup手順で起動したプロセスはファイアウォール対象外」という公式に明記された適用範囲の限界が、実際のインシデントにつながるかも注目点です。

  • 不確実性: 本記事が具体的なインシデント（Vercel顧客での実被害等）を受けたものかは不明であり、純粋な啓発・製品訴求目的の可能性もあります。

  • 効果が出ない条件: 他ベンダーの追随発信がなく、業界内での話題化が限定的にとどまった場合、問題提起としての波及効果が乏しいまま終わる可能性があります。

4-2. 中期（3か月〜1年）

  • 予想される動き: AIコーディングエージェント業界全体で「計算隔離＋ネットワーク隔離」の両方を標準装備とする流れが定着するかどうかが焦点になります。MCPサーバーのネットワーク境界問題（Obsidian Security、OX Security等が指摘する構造的リスク）への対応が進むかも注目点です。

  • 不確実性: 各社の実装アプローチが異なる（Vercelはホスト側ファイアウォール、Claude Codeはドメイン許可リスト、OpenAI Codexは二段階ネットワーク制御）ため、業界標準が一本化されるかは不透明です。

  • 効果が出ない条件: 実装アプローチの分散が続き相互運用性が低いままだと、利用者側が製品ごとに個別の脅威モデルを学び直す負担が解消されない可能性があります。

4-3. 長期（1年以上）

  • 予想される動き: AIエージェントの自律性が高まるにつれ、サンドボックス設計（計算・ネットワーク・認証情報の三位一体制御）が業界の必須要件として定着するかどうかが焦点になります。

  • 不確実性: 技術的な脱出経路は今後も新たに発見される可能性が高く、「完全なサンドボックス」の定義自体が今後も更新され続けると予想されます。

  • 効果が出ない条件: DNSやSNIなしTLSなど、記事内で言及される抜け道が継続的に発見された場合、防御側の対応が後手に回るいたちごっこが長期化する可能性があります。

5. 混同しやすい点

まとめ

  • Vercelは2026年8月11日、計算隔離だけでなくネットワーク境界制御まで含めて初めて完全なサンドボックスになると主張するブログ記事を公開しました。

  • 背景には、2026年に入り主要AIコーディングエージェントで相次いだサンドボックスエスケープの報告があります。

  • 紹介される脆弱性はいずれも修正済みですが、「計算隔離だけでは不十分」という設計上の教訓は現在進行形で参照する価値があります。

  • AIエージェントを本番導入する際は、接続先・認証情報・実行段階に応じた権限変化まで含めた脅威モデルを検討することが実務上望まれます。

主な参照

関連記事

免責

本記事で紹介する脆弱性（CVE-2026-48124等）はいずれも報告時点で該当ベンダーにより修正済みとされているものです。現行バージョンへの直接的な脅威であるかのような解釈はしないでください。Vercelブログ記事が具体的にどの外部研究を念頭に置いているかは記事内に明示がなく、時期的な符合以上の直接的関連は確認できていません。自社でAIエージェントのサンドボックス設計を検討する際は、必ず各ベンダーの最新の公式ドキュメントを確認してください。

【PR】
私も転職エージェントを利用して転職しました。

いいなと思ったら応援しよう！