Docker、AIエージェント向け実行基盤「Docker Cloud Sandboxes」を提供開始　microVMによる隔離環境と新仕様「Kit」を発表

要点

• Dockerは、AIエージェントの作業をPCローカルからクラウドへ移行して実行できる「Docker Cloud Sandboxes」の提供を開始した。

• 各サンドボックスは個別のカーネルとDockerデーモンを備えたmicroVMで構成され、エージェントによるホスト環境への不正アクセスを防止する。

• エージェントと必要な権限をOCIイメージとしてパッケージ化する仕様「Docker Sandbox Kit」を公開し、CNCFへの寄贈を表明した。

• 個別のエージェントではなく実行基盤（ランタイム）側で権限やコストを一括制御するガバナンス方針を掲げ、秒単位の従量課金で提供される。

• 米Dockerは2026年10月1日、AIエージェントを安全に実行・管理するための新機能「Docker Cloud Sandboxes」の提供を開始したと発表した。米国サンノゼで開催された技術カンファレンス「WeAreDevelopers World Congress North America」の基調講演で明らかにされたもので、PC上で開始したエージェントの作業をクラウドへシームレスに引き継ぎ、処理完了後に結果を手元へ戻すワークフローを提供する。

ローカルとクラウドをシームレスにつなぐ「Cloud Sandboxes」

大規模なコードのリファクタリングやマイグレーションといった長時間の作業をAIエージェントに任せる場合、ローカル環境のリソース圧迫や、作業中にPCを開いたまま保持しなければならない点が課題となっていた。

今回提供が開始されたCloud Sandboxesでは、開発者がローカル環境で使用するコマンドラインツール「sbx」をそのまま利用し、サンドボックスのファイルシステムをDockerが管理するクラウドコンピュート環境へ転送できる。これにより、PCを閉じた状態でもバックグラウンドで長時間のタスクを実行させ、作業完了後に結果を手元に取得してレビューすることが可能になる。

各サンドボックスの実体は、独立したOSカーネルとDockerデーモンを備える「microVM（軽量な仮想マシン）」として構築されている。エージェントはこの隔離環境の中で、依存関係のインストール、アプリケーションのビルド、コンテナの起動といった開発作業を自由に行うことができる。ローカル環境とクラウド環境で認証情報やセキュリティポリシーを個別に設定できるため、環境ごとに付与するアクセス権限を明示的に制御できる設計となっている。利用料金は秒単位の従量課金制が採用されている。

microVMによる境界保護とエージェント運用の4要件

基調講演に登壇したDockerの社長兼COOのMark Cavage（マーク・カベージ）氏は、エージェントに広範な作業を委ねるための基盤として、「封じ込め（Containment）」「制御（Control）」「選択（Choice）」「処理能力（Capacity）」という4つの要件を提示した。

従来のコンテナ環境では、ホスト側のDockerソケット（Dockerデーモンと通信するためのインターフェース）をマウントした場合、エージェントが意図せず設定されたアクセス権を利用してホスト上の秘密情報を読み取ってしまう危険性がある。基調講演のデモでは、Docker Sandboxesがエージェントの周囲にmicroVMの境界を設けることで、同様のソケット経由でのホストアクセスを完全に遮断できる様子が示された。コンテナがアプリケーションのパッケージングと実行を担うのに対し、サンドボックスはアプリケーションを構築するエージェントそのものの実行境界として機能する。

あわせてCavage氏は、インフラによる制御の限界についても言及した。不正な通信先のブロックなどはインフラ層で防げるものの、許可されたメールアドレス宛に不適切な内容を送信するといった「意図との不一致」までは判別できない。そのため、エージェントの権限を閲覧や下書き作成のみに限定し、送信権限は与えないといった細粒度のアプローチも併せて不可欠であると説明している。

環境仕様「Sandbox Kit」の公開とCNCFへの寄贈

Dockerは、エージェントが動作する環境定義を標準化するため、新たな仕様「Docker Sandbox Kit」を発表した。Kitはエージェント本体とツール群に加え、必要とするネットワーク宛先、認証情報、ストレージなどのアクセス要求を宣言したパッケージであり、コンテナの標準仕様であるOCI（Open Container Initiative）イメージ形式に準拠している。

開発チームは既存のイメージ用ツールを使ってKitのビルドやプッシュ、脆弱性スキャン、ダイジェスト（固有の識別ハッシュ）による固定を行える。エージェントが要求する権限の変更がパッケージ上で可視化されるため、チーム内での共有やコードレビューが容易になり、実行時にランタイム側でポリシーを適用・強制できる。

この仕様はオープンソースライセンス「Apache 2.0」のもとで公開され、中立的なガバナンスを確保するためにCNCF（Cloud Native Computing Foundation）へ寄贈される予定となっている。最初の実装ランタイムはDocker Sandboxesが務める。発表の場にはNous Researchが登壇し、同社のオープンソースエージェント「Hermes」をKit形式でパッケージ化した事例を披露した。

ツールごとではなく「ランタイム層」で組織統制

DockerのCTOであるTushar Jain（トゥシャール・ジェイン）氏は、「Govern the Runtime, Not the Agent（エージェントではなくランタイムを統制せよ）」と題した基調講演を行った。組織内で多様なAIモデルやエージェントツールが使われる中、ツールごとに個別でポリシーを適用することは管理の一貫性を失わせる原因になると指摘した。

Jain氏は、実行環境、ツール、認証情報、権限、コスト消費を一括して管理する共通のランタイム層の必要性を訴えた。講演内のデモでは、エージェントがGitHubリポジトリを削除しようとした操作要求に対し、ランタイム側のデフォルト拒否（default-deny）ルールが作動して即座にブロックされる様子が紹介された。