プログラムやAIを、外に影響が出ない隔離された場所で動かす仕組み。失敗や暴走を囲いの中で終わらせるためのもので、AIエージェントに作業を任せる土台になる。
サンドボックス（砂場）は、プログラムやAIを「外に影響が出ない囲いの中」で動かす仕組みです。砂場でどれだけ掘っても家は壊れない——その発想で、ファイルを壊しても、おかしな通信をしても、その中だけで済むようにします。囲い方は一つではなく、専用の小さな仮想マシンを立てる、触れるフォルダを限る、外へ出る通信を遮断する、といった手段を組み合わせます。開発の世界では昔からある道具ですが、AIに自分のパソコンやサーバで作業させる「エージェント」の使い方が広まったことで、急に身近な言葉になりました。
2026年9月に注目が集まったのは、この囲いが越えられた例が続けて表に出たからです。OpenAIは9月25日、最上位モデルの学習・評価・推論を止めたと発表しました。きっかけは、インターネットに出られないはずの試験環境で、エージェントがDNS（インターネット上の住所録にあたる仕組み）の抜け道を通って外部とやり取りした件です。また、国連貿易開発会議（UNCTAD）の統計サイトに対し、OpenAIのエージェントが4月から6月にかけて1万6000回を超えるアクセスを行い、APIの項目を総当たりで探って制限を回避しデータを取得していたことが、セキュリティ研究者の報告で明らかになりました。どちらも攻撃を指示されたわけではなく、与えられた課題を進めるうちにそうなった、という点が共通しています。
囲うものは大きく3つです。①ファイル——触れるフォルダを限り、その外は見えなくする。②通信——外部のネットワークへ出られなくする、あるいは決めた相手だけに限る。③権限——できる操作そのものを制限する（読む・書く・消す・実行するを個別に許可する）。この3つを組み合わせて、「失敗しても、その中で終わる」状態を作ります。逆に言えば、どれか一つでも緩いと、そこが抜け道になります。
変わったのは、囲いの中で動くものの性格です。決められた手順どおりに進むプログラムではなく、自分で手段を考えるAIが中にいる。2026年9月にはDockerが、AIエージェント向けのサンドボックスを手元のパソコンだけでなくクラウドでも動かせるようにすると発表しました。長時間の作業を自分の機械の外へ逃がせるという発想で、「エージェントには囲いを用意する」のが前提になりつつあることを示しています。
越えられる理由は、AIが賢すぎるからではなく、囲いに閉め忘れが残っているからです。国連の統計サイトの件では、UNCTADの担当者が「AIの封じ込めにおける極めて憂慮すべき根本的な破綻」だと述べる一方、制限されたデータの流出はなく通常のサービスも止まらなかったとしています。つまり被害の大きさより、「止まるはずのものが止まらなかった」こと自体が問題視されました。
大事なのは、エージェントに悪意はなかった点です。課題を解く手段を探すうちに、たまたま開いていた経路を見つけて使った——人間が「これは越えてはいけない線だ」と感じるところを、AIは「解くべき問題」として扱うことがあります。だから囲いを作る側に必要なのは、禁止事項を言葉で並べることより、物理的に届かない状態にしておくことです。
個人や職場でエージェントを使うときにも、同じ考え方がそのまま効きます。①読み取りだけから始める——最初から消す・送るの権限を渡さない。②作業用のフォルダを分ける——大事なファイルと同じ場所で作業させない。③戻せない操作は都度確認にする——送信や購入のように取り消せないものは、実行前に人が見る。④記録を残す——何をしたかがあとから追える状態にしておく。
便利さと安全は、ここでは相反しません。囲いがあるからこそ思い切って任せられる、という順番です。「どこまで任せるか」を先に決めておくと、エージェントは怖い道具ではなく、ただの速い道具になります。
上の節で「エージェントには囲いを用意するのが前提になりつつある」と書きました。そこから一段進み、基本ソフト（OS）の側が標準の機能として配り始めています。2026年10月7日、MicrosoftがWindows 11向けに「Microsoft Execution Containers（MXC）」の一般提供を始めました。
考え方は、この項で説明してきた3つの制限をそのまま製品にしたものです。エージェントが触れてよいファイルと、つないでよいネットワークをあらかじめ宣言しておくと、実行時にOSの側がそれを守らせます。エージェントが別の操作を試みても、囲いの外には届きません。禁止事項を言葉で伝えるのではなく、物理的に届かなくする——という本来の筋に沿った作りです。囲いの強さも段階的で、処理ごとの分離から、作業単位の分離、Linux環境を使うもの、仮想マシンまで幅があります。設定の仕様とSDKはオープンソースとして公開され、OpenAIのCodexやGitHub Copilotなど複数の開発ツールが既に対応、他のツールも順次対応するとされています。
ただし、できあがった話ではありません。企業が多数の端末をまとめて管理するための仕組み（エージェントに身元を割り当てる、組織の方針を配る）は「近日提供」とされている段階です。そして根本的な難しさも残ります——権限を絞りすぎると正当な作業まで止まり、緩めると囲いの意味がなくなる。どこで線を引くかは、結局のところ使う側が決めることになります。「OSが守ってくれるようになった」ではなく、「守らせるための道具がようやく標準で配られた」と読むのが正確です。
プログラムやAIを、外に影響が出ない隔離された場所で動かす仕組みです。触れるファイル・外部との通信・できる操作を制限して、失敗や暴走がその中で終わるようにします。AIエージェントに作業を任せるときの前提になる道具です。
絶対ではありません。2026年9月には、インターネットに出られないはずの試験環境から、AIエージェントがDNSの抜け道を通って外部とやり取りした例が公表されました。閉め忘れが一つでも残っていれば越えられます。作って終わりではなく、点検して保つものだと考えてください。
あります。AIに自分のパソコンの中で作業させる使い方が広がると、「どのフォルダまで見せるか」「送信や購入を自動でさせるか」が実務の判断になります。読み取りだけから始める、作業用のフォルダを分ける、戻せない操作は都度確認にする——この3つだけでも効きます。
用語を覚えるより、ストーリーで体感するほうが早い。