【Microsoft Azure】AIエージェント時代の安全な開発環境を考えてみる

こんにちは、MS開発部の渋谷です。 ソフトウェア開発の現在は、人工知能による静的なコード補完から、開発者に代わってファイル変更、テスト実行、外部システム連携を自律的にこなすAIエージェントの活用へと大きくシフトしています。開発現場では、AIに大きな権限を与えて作業を並行処理させることで劇的な生産性向上がもたらされていますが、これは同時に深刻なセキュリティの問題が発生する可能性があります。AIエージェントが不適切なコードを実行したり、機密ファイルを誤って上書きしたり、あるいは不正なネットワークを通じてシークレットキーや企業データを外部の意図しない宛先へ無断流出させたりするリスクが考えられます。このようなリスクを抑え込みつつ、自律型AIが持つ可能性を最大限に引き出すためには、安全でクリーンな隔離空間を提供するサンドボックスが不可欠なインフラとなるでしょう。 今回は、Microsoft Build2026で発表されたサンドボックス技術であるAzure Container Apps (ACA) Sandboxes、GitHub Copilot Sandboxesについて、考えてみます。

Azure Container Apps Sandboxesの概要

Azure Container Apps (ACA) Sandboxesは、信頼できないコードやAIエージェントが生成したスクリプトを、高速かつ安全にクラウド上で実行するために開発されたコンピュートプラットフォームです。これは、ハードウェアレベルで厳密に隔離されたマイクロVMによって実現されたサービスで、事前にプールされたクリーンな仮想マシンイメージから、わずか1秒未満という高速さでプロビジョニングされ、実行を開始できます。また、実行中にいつでもその時点のメモリとディスクの状態をキャプチャし、完全にそのまま復元・複製できるスナップショット機能を標準搭載しています。 さらに、このサービスの優れた特徴として、強固な送信ネットワークポリシーが挙げられます。デフォルトですべての外部通信を遮断するエグレスプロキシが前段に配置されているほか、許可リストによって例えばgithub.comへはアクセスできるといった制御が可能です。 また、使われていないアイドル状態のサンドボックスに対して、定義されたタイムアウト期間が経過した後に自動的にサスペンドさせる自動中断や、指定した日数が経過したのちに完全に環境をクリーンアップする自動削除といった自動のライフサイクルポリシーも備えています。

開発者にとって嬉しいポイント

開発者にとって一番うれしいポイントは、安全なプログラム検証のためのインフラ構築をしなくても良いことです。従来、Web上でユーザーにPythonやJavaScriptの任意のコードを入力させて評価するシステムや、AIに自由にコードを実行させる仕組みを構築する場合、サーバーの仮想化、ネットワークの設計、アイドル時のコスト管理といった難解なインフラの実装を個別に行う必要がありました。ACA Sandboxesを利用すれば、AIが危険な動作をする可能性があるタスクに取り掛かる際、API経由で即座に専用の安全な部屋を割り当て、作業終了とともに自動的にリソースを解放するワークフローが簡単に完成します。

GitHub Copilot Sandboxesの概要

この機能では、開発者が状況に応じて最適な場所を選択できるように、ローカルPC用の実行環境と、GitHubがホストする強力なクラウド環境のサンドボックスを選ぶことができます。 ローカルサンドボックスでは、Docker社が提供する独自の仮想マシンモニターを活用されています。これは、Docker Desktopアプリに依存せず動作するスタンドアロンの sbx CLIで制御され、各プラットフォームのOSが備えるハイパーバイザー（macOSであればHypervisor.framework、WindowsであればWindows Hypervisor Platform、LinuxであればKVM）を直接使用して、専用の軽量microVMを高速にブートします。起動した各サンドボックスには、それぞれ個別のDockerデーモン、隔離されたファイルシステム、そして専用のネットワークファイアウォールが割り当てられ、他のサンドボックスやホストOSとファイルやイメージのキャッシュ状態を一切共有しません。   一方、クラウドサンドボックスは、端末の計算資源を一切消費せず、GitHubのクラウド側で高速に展開される一時的なLinux環境を利用する方式です。れにより、マルチデバイス間での一貫した開発や、手元のマシンの熱を上げずに行う並行処理が容易になります。  

開発者にとって嬉しいポイント

開発者にとって一番うれしいポイントは、開発者がストレスやリスクを感じることなく、AIエージェントに自律実行を完全に委ねることができる点です。仮にエージェントが生成したスクリプトに致命的な不具合があったり、依存ライブラリの脆弱性によりホストの重要な設定ファイルをすべて削除しようとしたりしても、その影響は一時的なmicroVMの中に完全に封じ込められます。また、企業環境においては、Microsoft Intune等の統合デバイス管理（MDM）を通じて、組織全体に対して統一したサンドボックスポリシーを強制できるため、セキュリティ監査が厳密な企業のエンジニアでも安心してAIエージェントのパワーを実務に取り入れられます。  

まとめ

2つのサンドボックス環境を簡単に比較すると以下のようになります。

比較項目	Azure Container Apps Sandboxes	GitHub Copilot Sandboxes
主な隔離テクノロジー	ハードウェア分離型マイクロVM	ハイパーバイザー直結microVM / クラウドエフェメラルLinux
得意とする実行場所	Microsoft Azureクラウドプラットフォーム	ローカル開発環境、またはGitHub管理ホストクラウド
スナップショット・復元	メモリおよびディスクのフルキャプチャに完全対応	非対応（セッションごとに完全にクリーンアップ）
ネットワーク制御能力	ドメインフィルタ、カスタムCIDR、プロキシによる自動認証情報付与	Balancedポリシー（GitHubやレジストリのみ許可）などの3段階のポリシー
主なユースケース	ユーザーのスクリプト評価、Logic Apps連携タスク、エージェントの連続した並行処理	Copilot CLIによるコマンド実行、安全なパッケージ更新、テストの自律稼働
管理者の統合ガバナンス	Microsoft Entra ID認証、Azureポータル、Azure CLIポリシー	Microsoft Intune等MDMデバイス制御、Docker Admin Consoleポリシー

開発者がコーディングAIエージェントを活用するうえで、エージェントのいわゆる暴走やセキュリティリスクへの対策として、GitHub Copilot Sandboxは非常に有用なソリューションになることになるでしょう。また、AIエージェントをアプリケーションとして提供する際の、本番側のサンドボックス環境としてACA Sandboxも提供されており、AIエージェントを安全に活用していくための仕組みがより増えてきた印象です。