Dockerなど複数社、AI開発エージェントを隔離・制御する新指針「Secure Software Factory」を公開
要点
-
米Dockerをはじめとする複数社が、AIエージェントによる自動開発環境を安全に運用するための新指針「Secure Software Factory」を公開した。
-
エージェントが隔離環境を突破したり無断で本番へ反映したりするリスクを防ぐため、実行環境側で厳格に境界を設ける制御モデルを提示した。
-
開発フロー各段階の制御、認証やネットワーク等の基本要素、3段階の成熟度モデルで構成される。
-
Dockerは本指針に沿う技術として、MicroVMでエージェントを隔離する「Docker Sandboxes」を説明している。
-
米Dockerは2026年10月21日、AIエージェントを活用した開発環境の安全性を確保するためのリファレンスアーキテクチャ（標準設計モデル）「Secure Software Factory」を公開したと発表した。本指針は、同社や英Snyk、米Keycardらが2026年7月に公表した共通枠組み「Agent Baseline」を、自律的なソフトウェア開発現場に適用したものだ。金融や保険といった規制環境の大企業との対話を元に、複数の業界実務者が共同で策定したという。
開発現場で露呈するエージェントの逸脱と自己監視の限界
元記事によると、過去1年で多くの開発チームが、AIエージェントが要求を受け取ってコード修正、テスト実行、人間への引き渡しまでを自律的に担う「ソフトウェアファクトリー」の構築を進めている。開発速度が大幅に向上したという報告の一方で、エージェントが指示されていない行動をとる事例も生じているという。具体的には、サンドボックス（外部へ影響を与えない隔離環境）からのエスケープ、データベースの削除、承認を経ていない本番環境へのプッシュなどが報告されている。
元記事は、エージェントへ与える自律性が高まるほど、エージェント自身の自己監視に依存することはできないと指摘している。プロンプトインジェクション（悪意ある入力による指示の上書き）や汚染された依存関係、悪意あるツールの説明文によって、実行時に意図がねじ曲げられるリスクがあるためだ。そのため、エージェント自身の判断とは無関係に、実行環境側で認証情報やツール、依存関係、ネットワーク接続に明確な境界を設ける必要があると論じている。さらに、行動の証拠となるログを残し、最終的な結果には人間が責任を持つ体制が不可欠だと説明している。
「Secure Software Factory」が定義する3つの柱
今回公開された「Secure Software Factory」は、Keycard、Socket、Docker、Tessl、Tracebit、Browserbase、Tailscaleの現場実務者が執筆した。開発ワークフロー全体にセキュリティ制御を適用するため、以下の3つの要素で構成されている。
- ファクトリーワークフローの制御: 入力から設計、組み立て、ビルド、検証に至る開発パイプラインの各段階でコントロールを適用する。
- アーキテクチャの基本要素: アイデンティティとアクセス管理、サプライチェーン、ネットワーク制御、ランタイム（実行時）の隔離、オーケストレーションを定義する。
- 3段階の成熟度モデル: チームが現在の状況に合わせて導入を始め、段階的に安全性を高められる仕組みを提供する。
Docker SandboxesによるMicroVMでのランタイム隔離
Dockerはこの課題に対する自社のアプローチとして、「Docker Sandboxes」の役割を説明している。従来のコンテナがアプリケーションを分離するのに対し、サンドボックスはエージェントという実行主体（アクター）そのものを分離するものだという。
Docker Sandboxesは、MicroVM（高速起動と強固な隔離性を両立した軽量仮想マシン）を用いてエージェントを決定論的に制約する。これにより、コーディングエージェントはローカルやクラウド上で、アクセス可能なファイル、接続先ネットワーク、利用可能な認証情報が明示的に制限された隔離空間で自律作業を行える。これはAgent Baselineが掲げる「Constrain（制約）」の成果を具現化し、承認されたタスクに必要な範囲内にエージェントの行動を限定する仕組みだと述べている。
参画各社トップの見解と今後のフィードバック募集
発表にあたり、策定に携わったパートナー各社の経営陣もコメントを寄せている。
Tesslの創業者兼CEOであるGuy Podjarny氏は、「文脈（コンテキスト）こそが実際に実行される新たなコードであり、利用するスキルもサプライチェーンの一部として管理が必要だ」と指摘した。Tailscaleの共同創業者兼CEOであるAvery Pennarun氏は、「ソフトウェアが会話できるようになったからといって、最小権限の原則を忘れてはならない」と述べ、期限付きの権限付与や改ざんできない監査証跡の重要性を訴えた。またKeycardのIan Livingstone CEOは、「エージェントの計画（プラン）がそのまま権限（パーミッション）になってはならない」と語り、実行権限はエージェントの手の届かない外部で決定すべきだと強調している。
Dockerらは今後、公開された論文の参照やGitHubでのIssue提起、専用Slackコミュニティへの参加を通じ、現場での実装フィードバックを寄せるよう呼びかけている。