Docker、AIエージェント時代に向けたコンテナ基盤の安全対策を提唱 「Docker Hardened Images」やMicroVM検証環境を提供
要点
- 米Dockerは2026年8月31日、AIエージェントの普及に伴うソフトウェア基盤のセキュリティ課題と、その対策アプローチに関するブログ記事を公開した。
- 最小構成を採用した「Docker Hardened Images」により、攻撃対象領域を最大95%削減し、重大・高深刻度の脆弱性を初期状態でほぼゼロに抑えられるとしている。
- 脆弱性修正パッチはアップストリームの公開から7日以内に提供され、署名付きSBOMやビルド来歴の提供、サポート終了後最大5年間の商用サポートにも対応する。
- 予測不能かつ使い捨てで動作するAIエージェントの実行環境として、MicroVMベースの「Docker Sandbox」による隔離を提案している。
米Dockerは2026年8月31日、開発組織におけるAIエージェントの導入拡大に伴い、コンテナやベースイメージなどのソフトウェア基盤を標準で堅牢化（セキュア・バイ・デフォルト）する重要性を解説する公式ブログを公開した。従来の人間による開発を前提としたセキュリティ体制では急増するコードや自律的な挙動に対応しきれなくなっているとし、最小化されたコンテナイメージ「Docker Hardened Images」や、AIセッション用の隔離環境「Docker Sandbox」を通じた解決策を示している。
AIエージェントの台頭と従来のソフトウェア基盤が抱える限界
元記事を執筆したDockerのVishrut Iyengar氏によると、開発チームに導入されたAIエージェントは、既存のインフラや外部パッケージを信頼できるものとして扱い、人間によるレビューが追いつかない速度でコードを出力し続けるという。これにより、従来は時間をかけて顕在化していた基盤層の脆弱性が一気に表面化していると指摘する。
記事では、一般的なシステム基盤の大半が社外の外部リソースに依存している現状を挙げている。公開ベースイメージにはアプリケーションが使用しないパッケージが多数含まれており、攻撃対象領域（アタックサーフェス：攻撃者が侵入や悪用を試みられる脆弱な接点）を拡大させる要因となっている。また、パッチ適用が止まった古いJavaサービスなどが稼働し続けているケースも多く、肥大化したイメージに対する脆弱性スキャナーは週に約400件もの警告を発するため、組織の監査対応に四半期の大部分が費やされている実態があるという。
攻撃者側もこうした基盤層を標的にしており、パッケージや開発ツールの改ざん（ポイズニング）のほか、コーディングアシスタントの認証情報を大規模に窃取する攻撃が行われていると説明している。
攻撃対象領域を95%削減する「Docker Hardened Images」
Dockerは、こうした課題を解決する手段として「Docker Hardened Images」を提示している。同イメージはAlpine LinuxやDebianとの互換性を維持しており、DockerfileのFROM行を1行書き換えるだけで、大規模な移行プロジェクトを伴わずに導入できる設計となっている。
アプリケーションに必要なコンポーネントのみを含む最小構成を採用することで、攻撃対象領域を最大95%削減し、重大（Critical）および高深刻度（High）のCVE（共通脆弱性識別子：発見されたセキュリティ脆弱性を一意に識別する識別子）を導入初日からほぼゼロに抑えられるという。これにより脆弱性スキャンの高速化とノイズ削減が実現し、エンジニアが対応すべき重要度の高い検知に集中できるようになるとしている。
また、新たなCVEが公開された際には、アップストリーム（開発元）での修正から7日以内に修正済みイメージが提供される。さらに、すべてのイメージに署名付きSBOM（ソフトウェア部品表：構成コンポーネントの一覧）とビルド来歴（Provenance：生成過程の検証可能な記録）が同梱されており、セキュリティ監査の際に既存の証跡として提示可能であると述べている。
カスタマイズの保護と最大5年間のEOL延長サポート
最小構成のイメージであっても、独自のCA証明書や初期化スクリプトの追加、あるいはaptやapkを介したシステムパッケージのインストールといった本番環境向けのカスタマイズが必要になる場合がある。一般的な環境では、イメージをカスタマイズすることでSBOMや来歴の保証が無効化されやすいが、Dockerではハードニングされたシステムパッケージを提供することで、追加要素も含めて同一のパイプラインで構築し、SLA（サービス品質保証：事業者が保証するサービス水準）を維持できるとしている。
さらに、依存するソフトウェアがアップストリームでサポート終了（EOL）を迎えた場合への備えとして、「Extended Lifecycle Support」を用意している。これにより、EOL後も最大5年間にわたって商用パッチが提供され、アップストリーム側の都合ではなく自社の計画に合わせて移行を進められるという。
MicroVMによるAIセッションの分離「Docker Sandbox」
記事では、基盤層の強化に加えて、AIエージェントが動作する新たなレイヤーに対する防御の必要性も論じている。エージェントは非決定論的（同じ指示でも実行ごとに挙動が変動する性質）であり、作業終了とともにセッションが破棄される使い捨て（エフェメラル）の性質を持つため、固定的なIDを持つ人間の作業者向けに設計された従来の監視・レビュー体制が機能しにくいという。
すべてのアクションに人間の承認を求める運用は開発者の疲弊を招き、一方でエージェントを単純に隔離するとホスト側のエンドポイント監視ツールから挙動が見えなくなるというジレンマが生じる。
Dockerはこの課題に対し、既存の運用を置き換えることなく多層防御を追加する仕組みとして「Docker Sandbox」を挙げている。Docker Sandboxでは、個々のエージェントセッションをMicroVM（軽量仮想マシン：起動が高速でリソース消費を抑えた仮想化技術）ベースの使い捨て環境内で実行することで、安全性を担保しながらエージェントの自律的な動作を可能にするとしている。