AIエージェントの実行をLinuxの機能で閉じ込める軽量OSS「Sandlock」を解説

「AIエージェントに書かせたプログラムを社内の機械でそのまま動かすのは怖いが、毎回コンテナを用意するのは重すぎる」「『プロンプトインジェクションを防ぐ』とうたう道具を入れれば、エージェントがだまされる心配はなくなるのではないか」——AIエージェントの試験導入を任された開発基盤やセキュリティの担当者から、こうした相談が寄せられます。閉じ込める道具を選べば話は終わるように見えます。しかし本当に問うべきなのは、閉じ込めがエージェントの「判断」ではなく「手足」を縛るものだと理解したうえで、何を縛るかを決めているかという点です。この記事では、Linuxの機能だけでプログラムを閉じ込めるOSS「Sandlock」を取り上げ、何を防げて何を防げないのか、宣伝文句と資料の中身の差、企業が導入前に決めておくべき点を整理します。導入や設定の手順は扱いません。

Sandlockとは何か。2026年10月時点で確かめられる事実

Sandlockは、GitHubで公開されているOSSです。READMEでは「Linux向けの軽量なプロセスのサンドボックス（外と断ち切った実行の場）」と説明されています。信頼できないコードを、カーネルに備わる三つの仕組みで閉じ込め、管理者の権限も、コンテナも、資源を分ける専用の仕組みも使わないことを特徴に掲げています。作りはRustで、Python とGoから呼び出すための部品も用意されています。

公開元を確かめます。リポジトリは multikernel という組織のアカウントで2026年3月13日に作られました。組織のアカウントは2025年3月に作られ、公開リポジトリは16件、フォロワーは222人です。公式サイトには、米国サンノゼに拠点を置く Multikernel Technologies という企業のプロジェクトだと書かれ、有料の企業向けの提供も案内されています。ライセンスはApache-2.0です。

このラインが精査した2026年10月19日時点で、スターは572、派生は60、最後の更新は10月18日でした。1日あたりのスターの伸びは約2.6件で、急に注目を集めたというより、着実に使い手が増えている形と読めます。リリースは小刻みに出ており、確認した時点の最新は10月13日の0.9.0でした。版の番号が1に届いていない点も、成熟度を見るうえでの材料になります。

なぜ今、軽い閉じ込めが求められるのか

AIエージェントは、自分でプログラムを書き、その場で動かします。書かれたプログラムが意図どおりとは限りませんし、外から読み込んだ文章に紛れた指示で、エージェントが別のことをし始めるおそれもあります。そこで、エージェントが動かすものを、最初から狭い場所に閉じ込めておくという考え方が広がっています。

閉じ込める手段としては、コンテナや、仮想マシンを小さくした仕組みがよく使われます。READMEは、これらを強力だが重いと評し、Sandlockはその隙間、つまり「イメージの作成も管理者の権限も要らない、厳しい閉じ込め」を狙うと説明しています。公式サイトの用途の例は、エージェントを一つの作業場所と一つの接続先に限ること、外部からの変更依頼のコードを通信なしで組み立てること、要求ごとに新しい閉じ込めの場を作り、使い回さないことなどです。

起動の速さも売りの一つです。READMEの計測では、簡単なプログラムの起動にかかる追加の時間は約5ミリ秒で、Dockerより44倍速いとされています。データベースの一種であるRedisの処理量は、閉じ込めなしの約97%を保ったとあります。ただしこれらは公開元が自分で測った数値で、第三者の検証は確認できませんでした。自社の作業でも同じになるとは限らないと考えておくべきです。

仕組み：カーネルの三つの機能と見張り役のプロセス

READMEによると、Sandlockは三つの仕組みを組み合わせます。一つ目はLandlockで、ファイル、通信、プロセス間のやり取りについて、許した範囲の外を カーネルが拒みます。二つ目はseccompで、プログラムがカーネルに頼む操作（システムコール）を種類ごとにふるい分けます。三つ目は、seccompの機能のうち、特定の操作を別のプロセスに回して判断させる仕組みです。これを使って、メモリや作れるプロセスの数の上限、通信の宛先の確認などを行います。

設計の資料によると、閉じ込める対象のプログラムを起動する直前に、権限を後から増やせない状態にし、Landlockの規則とseccompの絞り込みを掛けてから、目的のプログラムに切り替えます。一方、親にあたるプロセスは見張り役として残り、回されてきた操作を一つずつ判断する役割を担います。メモリの確保やプロセスの生成、通信の接続などがこの見張り役を通ります。

ここで押さえておきたいのは、カーネルが直接拒む部分と、見張り役が判断する部分が分かれていることです。動的な判断の資料は、ファイルの出入りの制御はカーネルが強制する固定の規則に任せるべきだと書いています。判断の途中で対象が差し替わる問題を避けるためです。また、見張り役を置かない動かし方もあり、その場合は見張り役ありの動かし方より守りが弱いと資料に明記されています。

ファイルの扱い：許した場所だけ、書き込みは仮置き

ファイルについては、読んでよい場所と書いてよい場所を道ごとに許します。操作の案内の資料は、ファイルへの出入りは既定で拒まれると説明しています。一方で、設定項目の一覧の資料は、項目を省いた場合は常に効く絞り込み以外の制限を掛けないという一般の決まりを書いています。読み手によって受け取り方が分かれうる書きぶりなので、何も指定しなかったときにファイルがどこまで見えるのかは、導入前に必ず確かめたい点です。

もう一つの特徴が、書き込みの仮置きです。作業場所を指定すると、書き込みはいったん別の場所にためられ、成功すれば本来の場所に反映、失敗すれば捨てられます。どのファイルが追加・変更・削除されるかを見せたうえで、すべて捨てる試し運転もできます。公開元は、これが作業場所を自動的に守ると説明しています。

ただし、仮置きの対象は通常のファイル、フォルダ、別名のリンクに限られます。設計の資料によると、名前付きの通り道や通信の口、装置のファイルはカーネルに直接渡り、取り消されません。プロンプトインジェクションの資料も、後から採否を決める仕組みは、通信で送ってしまったものや仮置きの範囲外への書き込みを取り消さないと書いています。仮置きは、ファイルの上書きや削除の事故を防ぐ道具と受け止めるのが妥当です。

通信の扱い：既定で外に出さず、宛先と要求の中身で絞る

通信の資料によると、許可の一覧を何も与えなければ、外への接続はすべて拒まれます。ほかの通信の種類も、対応する規則がなければ作れません。許可の一覧を与えると、手順の種類、宛先、番号のすべてが合うものだけが通ります。公式サイトもこれを外向きの通信は既定で拒否と表現しています。逆に、拒否の一覧だけを与えると、既定で通し、挙げた宛先だけを止める動き方になる点には注意が要ります。

さらに、ウェブの要求については、方式、宛先、道筋の組み合わせで許可と拒否を決められます。たとえば、特定の接続先の特定の窓口への送信だけを許す、といった絞り方です。この判定は、見張り役が間に入る中継で行われます。ただし、暗号化された通信の中身を見るには、中継役が独自の証明書の発行元を用意し、閉じ込めたプログラムにそれを信頼させる必要があります。その準備をしなければ、暗号化された通信は中身を検査されずに通ると資料に書かれています。

ほかにも制限があります。宛先の名前は起動時に一度だけ引かれて固定され、途中で引き直されません。「どの下位の名前でも」という指定はできず、名前ごとに並べる必要があります。宛先の名前を固定することは、途中ですり替えられにくい利点がある一方で、接続先の住所が変わる外部の仕組みでは動かなくなる可能性があります。運用の手間として見積もっておく点です。

鍵をプログラムに渡さない仕組み

通信の資料と設定項目の一覧によると、Sandlockは鍵（接続先の認証に使う秘密の文字列）を見張り役が持ち、許可の判定を通った要求にだけ、中継の途中で差し込めます。閉じ込めたプログラムの環境から鍵を読み込んだ場合は、その値はプログラム側から消されます。結果として、プログラムは鍵を一度も手にせず、許された要求だけを送れる形になります。

エージェントがだまされて、手元の鍵を外へ送ろうとする筋書きを考えると、この仕組みの意味が分かります。手元に鍵がなければ、持ち出しようがありません。ただし条件があります。鍵の差し込みにはウェブの要求の中継が必要で、暗号化された接続先では証明書の準備も要ります。暗号化されていない接続先に差し込むと鍵が回線上に平文で流れるため、Sandlockは実行ごとに一度、警告を出すとされています。

資料は、ほかの限界も挙げています。秘密の管理の仕組みと直接つなぐ機能はなく、鍵は見張り役の起動時に一度読まれるだけなので、途中で鍵を入れ替えても反映されません。また、プログラムに明示して渡した秘密は、当然ながらプログラムから見えます。鍵を渡さない仕組みは、渡し方を正しく選んだときにだけ効くと理解しておく必要があります。

「プロンプトインジェクションなし」をどう読むか

リポジトリの短い説明には、「コンテナなし、仮想マシンなし、権限なし、プロンプトインジェクションなし」と並んでいます。プロンプトインジェクションとは、外から読み込んだ文章に紛れた指示で、AIの作業内容を書き換えさせる攻撃です。この一文だけを読むと、Sandlockを入れればこの攻撃がなくなるように受け取れます。しかし、公開元自身の資料は、それを約束していません。公式サイトにもこの言葉は見当たりませんでした。

プロンプトインジェクションへの守りを説明した資料は、冒頭で、ここで挙げる仕組みのどれも、言語モデルによる任意の文章の読み取りを信頼できるものにはしないと述べています。そのうえで、防げないものとして次を挙げています。許した宛先には大事な情報も送れてしまうこと。ウェブの要求の許可は、本文の中身が適切かまでは見ないこと。許された操作を悪い目的に使うことは止められないこと。守りの一部を外せば閉じ込めが弱まること。資源の上限は結果の正しさや悪い指示を見分けないこと、です。

つまり、Sandlockが防ぐのは「だまされたエージェントが、許した範囲の外に手を伸ばすこと」です。「だまされること」そのものや、「許した範囲の中での悪用」は防ぎません。宣伝の一文は、閉じ込めによって攻撃の被害を限ることを短く言い切ったものと読むのが、資料の中身に沿った理解でしょう。社内で紹介するときも、この言い換えをそのまま使わないことをすすめます。

計画役と実行役を分ける考え方と、文章の検査

資料は、閉じ込めのほかに、作業の分け方による守りも示しています。一つは、計画を立てる役と、データに触れて実行する役を分ける形で、資料では「実行専用のエージェント」の頭文字をとってXOAと呼ばれています。計画役は信頼できる作業の説明だけを受け取り、モデルには接続できてもデータは読めません。実行役はデータに触れられますが、通信はできず、環境の情報も最小限に絞られるという分担です。

ただし資料は、この分け方が崩れる場合も書いています。生のデータや実行役の出力を、権限の強いモデルに戻してしまえば分けた意味がなくなります。通信を断っていても、出力そのものに大事な情報が乗りうるとも注意しています。なお、処理の流れを説明した別の資料の例では、実行役の通信を断つ設定が例の中に書かれていないように読めました。分け方を採るなら、各役の通信の扱いを自社で確かめる必要があります。

もう一つは、読み込む文章を事前に検査する部品です。規則に基づく検出のほか、試験段階の統計的な分類や、手元で動かす分類の仕組みを選べます。資料は限界も率直に書いており、検出は主に英語向けで、ほかの言語や符号化への対応は部分的です。日本語の文書を扱う企業にとっては、検査を通ったことを、権限を広げる理由にしないという資料の注意が特に重要です。検査はあくまで閉じ込めに重ねる一層で、閉じ込めの代わりにはなりません。

コンテナ・仮想マシンとの違い

READMEには、コンテナや小さな仮想マシンと比べた表が載っています。そこに書かれた内容と、確認した資料の範囲の事実をもとに整理します。優劣ではなく、何と引き換えに軽さを得ているかとして読んでください。

見る点	Sandlock	コンテナ	小さな仮想マシン（Firecrackerなど）
管理者の権限	不要	多くは必要	必要
事前の準備	イメージの作成は不要	イメージを作る	イメージを作る
起動の時間（公開元の計測）	約5ミリ秒	約200ミリ秒	約100ミリ秒
カーネル	動かす機械と共有	動かす機械と共有	専用のカーネルを持つ
通信の絞り込み	宛先の許可と、ウェブの要求の単位の規則	網を分ける仕組み	仮想の網の装置
必要なLinuxの版	全機能に6.12以上	比較的古い版でも動く	仮想化の機能が要る

表のとおり、Sandlockの軽さは、カーネルを動かす機械と共有することの上に成り立っています。カーネル自体に弱点があれば、閉じ込めの外へ出られる可能性は、専用のカーネルを持つ仮想マシンより高いと考えられます。これは一般的な見立てで、Sandlock固有の弱点が見つかったという意味ではありません。何を閉じ込めるかの重さに応じて、仮想マシンと使い分ける、あるいは重ねることを前提に評価するのが妥当です。

安全性の評価：紹介可とした根拠

このラインでは、紹介するOSSを公開されている事実だけで精査しています。OSSを入手したり動かしたりはしていません。Sandlockの判定は「紹介可」です。

根拠は次のとおりです。運営は multikernel という組織のアカウントで、2025年3月に作られ、フォロワーは222人です。公式サイトでは運営企業の名前と所在地が示されています。スターの伸びは1日あたり約2.6件で、不自然な水増しの兆候は見られませんでした。ライセンスはApache-2.0で、商用を含めて使えます。GitHub上にこのリポジトリのセキュリティ勧告は登録されていません。リポジトリの直下には組み立て用の設定ファイルがありますが、利用者が自分で使うもので、取り込んだだけで自動的に動く処理ではありません。

一方で、気になる点もあります。2026年10月19日時点で、弱点の報告の窓口を定めたセキュリティ方針の文書は置かれていませんでした。弱点を見つけた人がどこに知らせればよいかが、リポジトリ上では示されていない状態です。また、勧告がないことは安全の保証ではありません。精査は公開情報の範囲に限られ、コードの中身や閉じ込めの強さを検証したものではないからです。閉じ込めの道具は、それ自体の弱点が守り全体の穴になるため、評価は導入する側でも重ねる必要があります。

導入前に知っておきたい注意点

第一に、動かす環境の条件です。READMEによると、全機能を使うにはLinuxの6.12以上が必要で、機能ごとに必要な版が分かれています。設定項目の一覧によると、既定では、カーネルが対応していない守りがあれば起動を拒みます。しかし、対応していない守りを黙って飛ばす選択肢もあり、資料は誤りを出さずに守りが弱まると注意しています。さまざまな版の機械が混ざる環境では、どの守りが実際に効いているかを確かめる運用が要ります。

第二に、同じ利用者の扱いです。設計の資料は、同じ利用者の識別番号で動くものはすべて信頼される前提だと書いています。閉じ込めの場を管理する通り道も、同じ利用者からは操作できます。つまり、エージェントを動かす利用者の権限そのものは、別に絞っておく必要があるということです。環境の情報も、既定ではそのまま引き継がれ、最小限に絞るのは指定したときだけです。

第三に、成熟度です。版は1に届いておらず、リリースは数週間おきに出ています。大規模な基盤から呼び出すための部品の説明書には、端末のやり取りにまだ対応していないことが書かれ、成熟度や脅威の想定、第三者による検査についての記載は見当たりませんでした。加えて、観察した動きから設定を作る機能は、観察中に通らなかった道を含まず、まとめ方しだいで書ける範囲が観察より広がると資料自身が注意しています。自動で作った設定は出発点にすぎず、人が見直してから使うものです。

悪用されうるリスク

Sandlockは守りのための道具で、攻撃のための道具ではありません。それでも、使い方しだいで生まれうる危険はあります。最も大きいのは、「閉じ込めたからプロンプトインジェクションは心配ない」という安心が独り歩きすることです。先に見たとおり、許した宛先への持ち出しや、許した操作の悪用は止まりません。

次に挙げるのは推測ですが、検討の材料になります。暗号化された通信の中身を検査するには、独自の証明書の発行元を閉じ込めた側に信頼させます。この発行元の扱いが甘ければ、本来は守るための仕組みが、通信を盗み見る足場になりうると考えられます。資料も、この発行元を信頼させることには慎重であるよう書いています。

もう一つは、許可の範囲が広すぎる設定です。外への通信をすべて許す指定や、拒否の一覧だけを使う動き方、守りの一部を外す選択肢は、どれも正当な使い道があります。しかし積み重なると、閉じ込めているつもりで、実際にはほとんど何も縛っていない状態になりえます。なお、Sandlockが実際に悪用された事例や、閉じ込めを破る弱点の報告は、2026年10月19日時点で確認した一次情報からは見つけられませんでした。

導入を検討するときに確かめること

検討するときは、動かす前に、資料と社内の取り決めで確かめられる点から整理します。下の手順は、OSSを動かす前の段階で終えられるものに絞っています。

この手順の要は、閉じ込めの強さは、道具よりも「何を許したか」で決まると理解することです。許す範囲が決まらないまま道具だけを入れても、守りの厚みは増えません。

企業が取るべき対策

一つ目は、エージェントが動かすコードの扱いの棚卸しです。Sandlockを使うかどうかにかかわらず、エージェントが書いたコードがどの機械で、どの利用者の権限で、どこまでのファイルと通信に触れながら動いているかを確かめます。エージェントが動かすものは、閉じ込めた場所で動かすことを社内の原則にします。

二つ目は、鍵の置き場所です。エージェントの手元に本物の鍵が置かれていないかを確かめ、可能なら中継で差し込む形に移します。三つ目は、外への通信の許可の一覧の管理です。接続先と窓口を必要な分だけに絞り、許可の一覧を変えるときは、誰が承認したかを記録する流れを作ります。許した宛先は、そのまま情報の出口になりうるからです。

四つ目は、閉じ込めに頼りすぎない設計です。プロンプトインジェクションの資料自身が、検査を通った後も閉じ込めと業務側の権限の確認は残すべきだとしています。閉じ込め、権限の絞り込み、記録、人の確認を重ねます。五つ目は、調達のときの確認です。版が1に届いていないこと、報告の窓口の文書がないこと、有料の企業向けの提供もあることを踏まえ、社内で使える段階かどうかを文書で判断します。

AIに任せる範囲と、人が決める範囲

Sandlockは、AIエージェントにコードを動かさせるための守りの道具です。だからこそ、AIに判断させない部分を先に決める必要があります。閉じ込めの規則を決めるのはAIではなく人です。

具体的には、どこを読ませ、どこに書かせ、どの接続先と話させるか。仮置きした書き込みを反映してよいかを誰が見るか。モデルが「利用者が許可した」と言っても許可とみなさないことは、資料も明記しています。観察から設定を作る機能や、文章の検査の結果をAIに読ませる場合も、判断の根拠を書かせ、人が確認する範囲を先に決めておくと、後から判断を振り返れます。やってはいけない向き合い方を挙げます。

• 「プロンプトインジェクションなし」という説明を根拠に、エージェントに渡すデータや権限を広げる
• 外への通信を広く許したまま、閉じ込めているから安全だと判断する
• 観察から自動で作った設定を、人が見直さずにそのまま本番で使う
• 文章の検査を通ったことを理由に、日本語の文書を無条件にエージェントへ渡す
• 守りを黙って飛ばす選択肢を有効にし、どの守りが効いているかを確かめない
• 仮置きした書き込みの反映を、エージェント自身の判断に任せる

裏を返せば、人が決める範囲ははっきりしています。何を許し、鍵をどう渡し、誰が反映を承認し、誰が更新を追うか。この四つが決まっていれば、Sandlockは被害を限る有効な一層になります。

よくある質問：Sandlockがあれば、エージェントにコードを任せてよいのか

答えは「それだけでは足りない」です。Sandlockは、許した範囲の外へエージェントが手を伸ばすことを、カーネルの機能で止めます。しかし、許した範囲の中で起きることは止まりません。許した接続先に大事な情報を送ることも、許した操作の悪用も、資料自身が防げないと書いています。

では入れる意味がないのかというと、そうではありません。外への通信を既定で断てること、鍵をエージェントの手元から外せること、書き込みを仮置きして人が採否を決められることは、エージェントがだまされたときの被害を確かに小さくします。コンテナを用意するほどの手間をかけずに、要求ごとに新しい閉じ込めの場を作れる点も、試験導入の段階では助けになるでしょう。

もう一つ、「文章の検査があれば閉じ込めは要らないのではないか」という問いもありそうです。資料によると、統計的な分類は試験段階で、点数は確率として調整されたものではなく、検出は主に英語向けです。検査は一層として足し、閉じ込めと人の確認は外さない、という分け方が妥当でしょう。

• Sandlockの機能・版・制限は、GitHubのリポジトリとその中の文書、リリースの一覧、セキュリティの画面、公式サイトを2026年10月19日に確かめた範囲に基づきます。版が1に届いていないため、内容は変わる可能性があります
• 何も指定しなかったときのファイルの扱い、起動の速さや処理量の数値は、公開元の資料の範囲で確かめたもので、第三者による検証は確認できませんでした。導入の判断では最新の資料を確認してください
• この記事は守りと評価の目線で書いています。導入・設定・実行の手順は扱いません

まとめ

Sandlockは、コンテナも仮想マシンも管理者の権限も使わず、Linuxに備わる仕組みでプログラムのファイル・通信・資源の使い方を制限するOSSです。外への通信を既定で断ち、ウェブの要求の単位で許可を絞り、鍵を中継で差し込み、書き込みを仮置きできます。multikernel の組織がApache-2.0で公開しており、GitHub上にセキュリティ勧告は登録されていません。

一方で、リポジトリの説明にある「プロンプトインジェクションなし」は、資料の中身に照らすと言い過ぎです。閉じ込めはだまされた後の被害を限るもので、許した範囲の中での持ち出しや悪用は止めません。報告の窓口の文書がなく、版も1に届いていません。何を許し、鍵をどう渡し、誰が反映を承認するかを人が先に決めたうえで、被害を限る一層として使うことが、エージェントにコードを動かさせる時代のSandlockとの付き合い方です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。