Dockerが、AIエージェント専用の使い捨て(disposable)サンドボックスを正式公開した。クロードやGPTに本番環境を触らせる恐怖から企業を解放する救世主として喧伝されているが、蛙崎に言わせれば、これは「箱を配っただけ」の話だ。箱の中で暴れるかどうかを決めるのは、依然としてAI自身である。

何が起きたか

Dockerは2026年8月、AIエージェント専用の使い捨てサンドボックス「Docker Sandboxes」を正式リリースした。ClaudeやGPTなどのLLMベースのエージェントにコード実行やファイル操作を委ねる際、1タスクごとに本番環境から物理的に隔離された使い捨てコンテナを発行し、処理が終われば丸ごと破棄する仕組みだ。

背景には、この1年で急増したエージェント運用事故がある。ファイルの誤削除、認証情報の漏洩、意図しない外部APIコール——「AIに任せたら顧客データベースが飛んだ」という笑えない話が実在する現場で、隔離インフラの整備は待ったなしだった。既存のDockerユーザーであれば追加投資は最小で済み、監査ログも自動で残るため、内部統制の観点からも導入ハードルは低い。企業のAIエージェント運用における事実上の標準基盤として、急速に位置づけられつつある。

なぜこのニュースが重要か

重要なのは、これが「AIの暴走はもう防げない」という業界の敗北宣言でもある点だ。本来なら、AI側でガードレールを完璧に敷き、危険な操作をそもそも実行させない設計が理想である。ところが現実には、プロンプトインジェクション、幻覚によるコマンド生成、エージェントの多段連鎖による予測不能な挙動——これらが実運用で頻発し、「AI自体を信用するのは諦めて、環境ごと使い捨てる」という力技に業界が流れ着いた。

つまりdisposableという発想は、AIの信頼性向上を待たず、被害の局所化に舵を切ったということだ。ポジティブに読めば実務的な現実解だが、裏を返せば「AIエージェントは根本的に危険な存在である」という前提を、Dockerという巨大インフラ企業が公認したに等しい。経営者はこの構造転換を軽く見てはいけない。AI導入の議論は「性能」から「封じ込め」へと重心が移った。

過剰評価への反論

浮かれる前に3つ、冷や水を浴びせておく。

第一に、ナレーションでも触れられている通り、サンドボックスは「箱を用意する」だけで、AIに「必ず箱の中で動け」と強制する機能ではない。エージェントのオーケストレーション層が誤って本番の認証情報を渡せば、隔離もクソもない。結局のところMCP、Claude Code、LangGraph等の呼び出し側の設計次第であり、Dockerは責任の半分しか引き受けていない。

第二に、「使い捨て」の代償はコストだ。1タスクごとにコンテナを立ち上げて破棄する運用は、常駐プロセスに比べて起動オーバーヘッド、ネットワーク帯域、ストレージI/Oの負荷が跳ね上がる。月間検索ボリューム2,200を持つ「disposable」というキーワードが示す通り、使い捨て文化は魅力的に響くが、大規模運用では課金明細を見て青ざめる企業が続出すると推定する。

第三に、「監査ログが残るから内部統制に耐える」という主張も甘い。ログが残ることと、そのログを読んで判断できる人材がいることは全く別問題である。エージェントが生成したコマンドが「なぜ」実行されたのか——LLMの意思決定過程はブラックボックスのままだ。監査ログは事後の免罪符にはなっても、事前の統制にはならない。事故が起きてから「ログはあります」と言うのは、ドライブレコーダーを積んだ暴走車と同じである。

経営者として次に取るべき動き

第一に、自社で稼働中のAIエージェントを全て棚卸しし、「本番環境の認証情報に直接触れているもの」をリストアップせよ。1週間以内にできる。ここが最大の事故源であり、Docker Sandboxesの導入優先度もこのリストで決まる。

第二に、サンドボックス導入と同時に「呼び出し側の制御層」——ポリシーエンジン、権限最小化、人間承認フローの設計を必ずセットで発注せよ。箱だけ買っても意味がない。ベンダーが「Dockerがあれば安全」と売り込んできたら、その業者は切っていい。

第三に、コスト試算を先にやれ。使い捨てコンテナ運用のクラウド課金は、想定の1.5〜3倍に膨らむと見ておくべきだ(蛙崎推定)。PoCの数字を鵜呑みにせず、本番想定のタスク数で見積もりを取り直す。ここを怠ると、来期に「AI安全コスト」という新種の予算膨張に頭を抱えることになる。