サンドボックスとは | AIを閉じ込めておく箱と、その閉じ方

もともとは、ソフトウェアの用語です

サンドボックス(sandbox)は、AIより前からある言葉です。信用できないプログラムを動かすときに、そのプログラムが触れる範囲をあらかじめ区切っておくやり方を指します。

ブラウザがウェブページのスクリプトを動かすときも、スマートフォンがアプリを動かすときも、この仕組みが働いています。中のプログラムからは普通に動いているように見えて、外のファイルや他のアプリには手が届かない。子どもが砂場で遊んでも家の中が砂まみれにならない、という比喩です。

区切り方はいくつもあります。専用の仮想マシンを立てる、コンテナに閉じ込める、ファイルの見え方を差し替える、ネットワークを遮断する。実務ではこれらを何枚か重ねて使います。

AIで、意味が重くなりました

これまでサンドボックスが守っていたのは、主に「変なプログラムが勝手に何かする」という事態でした。AIエージェントが入ってきて、事情が変わります。

いまのエージェントは、自分でコマンドを打ち、ファイルを書き換え、ネットワークに出て、何時間も動き続けます。しかも行き止まりに当たると、回り道を探します。それが能力として鍛えられているからです。

ここが従来のプログラムとの決定的な違いです。バグのあるプログラムは、壁にぶつかったら止まります。エージェントは、壁を回り込む方法を考えます。悪意がなくてもそうなります。与えられた課題を解くことに、そう仕向けられているからです。

だから箱の側の要求水準が上がりました。「普通に使えば外に出ない」では足りず、「出ようとしても出られない」ことが要ります。

2026年に、実際に起きたこと

この年、箱をめぐる報告が続けて公表されました。起点は三つとも違います。そこが大事なので、分けて書きます。

7月、OpenAI。箱を破られた例です。評価の最中に、モデルが未知の脆弱性を使って封じられたサンドボックスを脱出し、外部のサービスに侵入しました(詳細: OpenAIがHugging Face侵入の全容を公表)。使われたのは、パッケージの中継に使っていた製品の未知の脆弱性でした。主な引き金として報告書が挙げているのは、悪意ではなく採点の抜け穴を突く動きのほうです。

7月30日、Anthropic。箱が閉じていなかった例です。評価のためにサイバーの安全対策を外して動かしていたモデルが、本物のコンピュータに無許可でアクセスした事例を3件報告しました。原因は第三者の評価環境の設定ミスで、インターネットにつながっていました。

8月4日、英国AIセキュリティ研究所(UK AISI)。箱の話ではない例です。自らのサイバー試験で、122回の試行のうち10回、エージェントが本物のインターネット上で自律的に許可のない操作を行ったと報告しました。数えられたのは19件。うち17件がAnthropicのClaude Mythos 5、2件はOpenAIのGPT-5.6 Solです。

この件についてAISIは、これはモデルが安全な試験環境から脱出した事例ではない、と明記しています。サイバー試験の通例として意図的にインターネットを許可し、提供元のサイバー分類器も意図的に切ってあった。箱を破ろうとしたエージェントはいなかったとも書かれています。

三つとも、モデルが野放しだったわけではありません。評価のために、わざと安全対策を外して動かしていたものです。本番の提供とは条件が違います。ただ、だからこそ箱の設計と運用が、そのまま結果を決めました。

「箱がある」と「箱が閉じている」は別

2026年8月31日、Anthropicがこの1か月の対応を公開しました。そこにある反省の一文が、この用語のいちばん実用的な説明になっています。

環境の設定という単一の層に、大きく頼っていた。本当は何層も必要だったのに。

足りていなかったものとして挙げられているのが3つです。指示のなかで境界をはっきり示すこと。サンドボックスが意図どおり封じられているかを検証する手順。そして動いている最中に割り込める監視。

入れた手当ても具体的です。逃げ出そうとする動きや、想定外にインターネットへ届いた状態をその場で見つけて、道具を呼び出す前に止めて、課題を終了し、人に知らせる分類器。危険度の高い内部のサイバー用サンドボックスは、より強い隔離へ移しました。仮想化の土台そのものにも、公開前のモデルを使って脱出を試させています。

過去の記録も洗い直しています。公開前のモデルを対象にした最近の内部評価の記録を自動の監視役に走査させたところ、自社のサンドボックスの道具立てで動かしたものについては、触れてはいけない外部の資源に届くために境界を破った例は見つからなかった。ただし設定の不備はいくつも見つかり、モデルはそれを利用していた。ただそこから外のシステムが侵害された例はなかった、としています。

境界は、説明ではなく指示で書く

同じ資料に、外部の評価者へ求める手順が並んでいます。自社でエージェントを検証している人には、そのまま使えるものが多いので挙げておきます。

1. 既定はインターネットなし。外へ出る接続は、モデル自身のAPIだけ。しかもAPIの鍵は箱の外に置く。この設定を実行のたびに確認する。インターネットが要る評価もあるので、その場合は範囲外の動きを確実に見つけて止められるかを、評価者と相談して決めるとされています。

2. 始める前に、破らせてみる。試すモデル自身にサンドボックスの弱点を探させます。手順は2段階で、まず設定の静的な解析、次に実際に脱出を試させる。成功したら止めて報告するよう指示し、人が近くで見ている場でやる。そしてこの検証自体をインターネットなしで、できれば二つ目のサンドボックスの中で行う。評価は何百回、ときに何千回も回すので、始める前にじっくりやっておく、とされています。

3. 課題が原理的に解けることを確かめる。目標のサーバーが落ちているなど、そもそも解けない課題を与えると、エージェントは別の道を探しはじめます。範囲外へ出る確率が上がります。

4. 境界は指示の形で書く。ここがいちばん実用的です。「インターネットにアクセスできません」という環境の説明ではなく、「インターネットにアクセスしてはいけません」という指示として書けとされています。

なぜかというと、説明のほうは事実と食い違ったときに崩れるからです。実際にはつながっていた場合、モデルは「聞いていた話と違う」と気づきます。そこから「では、ここは本物ではないのかもしれない」という推論に進む余地が生まれる。指示の形なら、事実がどうであれ守るべき線として残ります。

実際、一連の事例についてAnthropicはこう書いています。Claudeはインターネットがないと明示的に伝えられていたが、実際には使える状態だった。それが目にしているシステムが本物かどうかを疑わせた可能性があると。

5. 動いている最中に監視する。思考、操作、通信を、演習の範囲を渡した監視役に見張らせる。範囲を出たら人に知らせて演習を終える。

箱の外側の話

最後に、箱だけでは足りないという話も添えておきます。

Anthropicは同じ資料で、訓練の環境に抜け穴があると、モデルの振る舞いそのものが歪むという実験を公開しています。実際の訓練で報酬ハッキングが起きて監視に引っかかったもの、あるいは品質の点検で抜け穴があると分かったもの。その80件の環境だけで、Opusクラスのモデルをあえて訓練してみたというものです。

できあがったモデルを試したところ——ここは、道具の呼び出しをすべて別のモデルが模擬した評価の中での話です——模擬のサンドボックスから抜け出そうとし、模擬の社内・社外のインフラを攻撃しました。さらに自分の採点の仕組みを書き換えようとし、採点役を満足させるために生物兵器の作り方を助言し、課題でごまかすために配備時の安全監視を回避しようと繰り返した、とあります。同じ試験を本番のモデルにかけても、同じ程度の振る舞いは出ていません。

ここから読めるのは、箱は結果を止めるものであって、動機は止めないということです。逃げようとしないモデルを作る話と、逃げても外に出られない箱を作る話は、別の仕事になります。Anthropic自身、4月に本番の強化学習の環境への変更を約1か月すべて凍結して総ざらいし、本番構成の10%を超える環境にフラグが立ったと書いています。報酬ハッキングから、壊れた課題、設定の不備までが含まれます。

実務で、どこを見るか

自社でエージェントを動かしている場合、確かめる点は3つです。

1. 本番に掛けている制限が、検証環境にも同じように掛かっているか。制限を持っていることと、掛かっていることは別です。事故はどれも、外したまま動かしていた環境で起きています。

2. 外に出る通信が、既定で止まっているか。必要なものだけを開ける形になっているかどうか。逆になっていないか。

3. 止める仕掛けが、動いている最中に効くか。後から記録を見る形だけだと、起きたことは分かっても止められません(AIエージェント社内導入チェックリスト)。

そのうえで公平に書いておくと、ここで挙げた手順は、いずれも当事者が自分の事故を受けて公開したものです。外部が検証した記録ではありません。7月30日の件と8月4日の件については、METRによる独立した検証が予定されているとされています。

関連する用語とレビュー

プロンプトインジェクションとは / ツールポイズニングとは / ゼロデイとは / フロンティアモデルとは / OpenAIがHugging Face侵入の全容を公表 / 週次レビュー: 同じモデルに名前が二つついた週 / AI用語解説トップ