OpenAIのAIモデルがSandboxから脱獄してHFを攻撃したけど、以前から同様な出来事や兆候があったらしい。マジでSF。 ・ロイターによると、OpenAIでは過去にも同様のインシデントがあったらしい ・あるAIエージェントは、内部制限から抜け出す手順を記したメモを残していたとのこと ・これは将来のバージョンの自身に向けて書かれたものだと見られている ・また、過去のテストでは監視システムが切断されるケースもあったようだ

登壇スライドです！ Cloud sandboxでスマホやWeb,Copilot appとかでもセッション共有できるようになった話と、一部はまだActionsで実行されているよという話です #AzureTravelers#

OpenCode ZenでGPT-5.6 Luna maxとDeepSeek V4 Flashの廉価オーケストレーション組んでみたけどサンドボックスや自動承認欲しいから、CodexからDeepSeek使う方法あるらしいのでそっちかな。Unity VR開発でDocker Sandboxesとかは使えないし

エージェントに「自分専用のコンピュータ」を持たせたいけれど、VMは起動が遅く、コンテナは分離が弱い。Googleはこの板挟みを、どう解いたのでしょうか。 これまでの選択肢は二つでした。VMはroot権限と強い分離を与えられますが、起動や再開に数秒から数分かかります。コンテナは速くて軽い一方、ホストのカーネルを共有するので、コーディングエージェントに十分な分離を渡せません。ターンごとに破棄すれば作業状態が消え、待機中のエージェント全員に専用VMを常時割り当てれば資源が無駄になります。 📌 転機は「待ち時間の多さ」と「sandboxに秘密を置かない」の2点です。Googleの計測では、エージェントは時間の大半をモデル応答かユーザー入力の待機に使っています。そこでAgent Compute Engine（ACE）は、ツール呼び出しが終わると状態を保ったままチェックポイントして、アイドル中は稼働資源をほぼゼロにします。同時に、基本OSやブラウザはDAXとCoWで物理メモリを共有します。 セキュリティの考え方は「sandbox内は全部攻撃者に握られている前提」です。ゲストにはシークレットも標準のネットワークカードもなく、外向き通信はAgent Gatewayが検査して、通信の途中で資格情報を差し替えます。その結果、rootを奪われても盗むものがありません。 ただしプレビューは「今後数か月」の予定で、起動時間や料金などの数値は記事にありません。詳細は Inside Agent Compute Engine: Building the compute foundation for the agentic era をご覧ください。 #AIAgents# #GoogleCloud#

# Claude Agent SDKの便利で実践的な使い方 🛡 プロンプトインジェクション対策・認証情報プロキシ・最小権限で多層防御を構築しましょう。 セキュアデプロイメントは、分離技術・認証情報プロキシ・ネットワーク制御でエージェントの安全な本番運用を実現するガイドです。 📌 タイトル：AI エージェントの安全なデプロイ 🔗 URL： 🧩 概要 sandbox-runtime / Docker / gVisor / Firecracker の分離技術、認証情報プロキシパターン、ネットワーク・ファイルシステム制御を組み合わせた多層防御を提供します。 🛠 使い方 分離強度に応じて技術を選択：単一開発者/CI は sandbox-runtime、マルチテナントは gVisor/Firecracker。認証情報は Envoy / mitmproxy / LiteLLM で境界外注入します。 🏗 実践的な使い方 ・認証情報プロキシパターン：API キーをエージェント境界外のプロキシで注入し、エージェントは認証情報を見ずに API 呼び出しします。`ANTHROPIC_BASE_URL` でルーティング。 ・最小権限：必要ディレクトリのみ読み取り専用マウント、`.env`・`~/.aws/credentials`・`*.pem` を除外、`--network none` + Unix ソケットプロキシでネットワーク制限。 ・クラウドではプライベートサブネット + クラウドファイアウォールでプロキシ以外の送信を全ブロックし、許可リスト強制・認証情報注入・全トラフィックログを実現します。 💡 ユースケース 🔐 認証情報のエージェント境界外管理 🌐 ネットワーク制限による外部送信の防止 🏢 マルチテナント環境での強分離 ⚠️ 注意点 信頼できないコンテンツ（README、Web ページ、ユーザー入力）にはプロンプトインジェクションが含まれる可能性があります。ネットワーク制御は最後の防衛線として必ず設定してください。 #ClaudeAgentSDK# #AI#

# Claude Agent SDKの便利で実践的な使い方 🛡 プロンプトインジェクション対策・認証情報プロキシ・最小権限で多層防御を構築しましょう。 セキュアデプロイメントは、分離技術・認証情報プロキシ・ネットワーク制御でエージェントの安全な本番運用を実現するガイドです。 📌 タイトル：AI エージェントの安全なデプロイ 🔗 URL： 🧩 概要 sandbox-runtime / Docker / gVisor / Firecracker の分離技術、認証情報プロキシパターン、ネットワーク・ファイルシステム制御を組み合わせた多層防御を提供します。 🛠 使い方 分離強度に応じて技術を選択：単一開発者/CI は sandbox-runtime、マルチテナントは gVisor/Firecracker。認証情報は Envoy / mitmproxy / LiteLLM で境界外注入します。 🏗 実践的な使い方 ・認証情報プロキシパターン：API キーをエージェント境界外のプロキシで注入し、エージェントは認証情報を見ずに API 呼び出しします。`ANTHROPIC_BASE_URL` でルーティング。 ・最小権限：必要ディレクトリのみ読み取り専用マウント、`.env`・`~/.aws/credentials`・`*.pem` を除外、`--network none` + Unix ソケットプロキシでネットワーク制限。 ・クラウドではプライベートサブネット + クラウドファイアウォールでプロキシ以外の送信を全ブロックし、許可リスト強制・認証情報注入・全トラフィックログを実現します。 💡 ユースケース 🔐 認証情報のエージェント境界外管理 🌐 ネットワーク制限による外部送信の防止 🏢 マルチテナント環境での強分離 ⚠️ 注意点 信頼できないコンテンツ（README、Web ページ、ユーザー入力）にはプロンプトインジェクションが含まれる可能性があります。ネットワーク制御は最後の防衛線として必ず設定してください。 #ClaudeAgentSDK# #AI#

🛡️ コードを実行できるAIエージェントは強力ですが、その自由度こそが最大の攻撃面になります。「どんなサンドボックスを選べばいいのか」を体系的に整理した必読ガイドです。 タイトル: How to Choose the Right Sandbox for Your Agent URL: 💡 概要 AIエージェントにコード実行を任せると価値が一気に上がりますが、プロンプトインジェクションという確実な防御策のない脅威がついて回ります。この記事は、その脅威を「致命的な三要素（lethal trifecta）」として整理し、サンドボックス選定の実践基準を示しています。 ⚠️ 解決する課題 危険な状態は、エージェントが（1）機微なデータにアクセスでき、（2）信頼できないコンテンツにさらされ、（3）外部と通信できる、の3つが同時に揃うときです。これが揃うと攻撃者にデータを盗まれかねません。Metaの「Rule of Two」は、この3条件を完全自律のまま同時に満たさせるな、という考え方です。 🛠 方法論と提案手法 サンドボックスは三要素を消すのではなく、リスクが十分小さくなるまで「アクセスと外部通信を絞り込む」隔離環境です。必須要件は次の5つです。 ・隔離されたファイルシステム（必要なデータだけ） ・制限されたネットワークアクセス（持ち出し防止） ・リソース制限（CPU/メモリ/実行時間） ・再利用の制御（侵害が残らないように） ・カーネルレベルの隔離（ホストのカーネルバグを悪用させない） 🎯 ユースケース / 実装 フルVMを立てずにカーネル隔離を実現するmicroVMが効率的な選択肢です。記事はLangSmith Sandboxesを紹介しており、サンドボックスごとに専用microVMと独立ファイルシステムを持ち、認可プロキシが外側で認証情報を注入することでシークレットも隔離します。 #AIエージェント# #セキュリティ#

# Cursorの機能と実践的な使い方 🧩 CursorのAIエージェントを、自前のスクリプトやCIチェックの中から呼び出せたら——。`@cursor/sdk` はその願いを叶える、TypeScript製のエージェント操作インターフェースです。 🏷️ タイトル: @cursor/sdk(TypeScript) 🔗 URL: 📘 概要 `@cursor/sdk` は、IDE・CLI・Webアプリと同じCursorエージェントを、スクリプト可能なTypeScriptインターフェースとして公開するパッケージです。CI自動化、製品への組み込み、独自ワークフローのオーケストレーションなどに使えます。Node前提で、ローカル実行用コードは遅延ロードされるためクラウド専用利用では起動コストがかかりません。 ⚙️ 機能の説明 主要な概念はAgent(会話文脈とワークスペース設定を保持するステートフルな入れ物)、Run(1回のプロンプト送信と、その出力ストリーム・状態・結果)、SDKMessage(実行中に流れる正規化済みイベント)です。 ・`Agent.create()`：オプションを検証してすぐにハンドルを返し、`agent.send()` でプロンプトを送れます。 ・local / cloud キー：実行場所を切り替えます。`local` はあなたのNodeプロセス内でエージェントループを回し、`cloud` はCursorホストの隔離VMでリポジトリを取得して動かします(自前VMプールも可)。 ・「local」はエージェントループの場所を指すだけで、モデル推論は両モードともCursorのバックエンド経由です。 ・`local.customTools` で独自関数をツールとして渡せます(ローカル専用)。`Agent.prompt()` はワンショット用のショートカットです。 🛠️ 実践的な使い方 インストールはスコープ付きの正確な名前 `npm install @cursor/sdk` が必要です。 ローカルの作業ツリーに対してCIチェックを走らせるには、`Agent.create()` に `apiKey`・` を渡し、`agent.send()` でプロンプトを送って `run.wait()` の `status` が `finished` かを判定します。終わったら `agent[Symbol.asyncDispose]()` で後始末します。 クラウド実行に切り替えるなら `cloud` キーを使い、`autoCreatePR: true` で完了時にPRを開けます。認証は `CURSOR_API_KEY` 環境変数か `apiKey` 指定で、ユーザーキーまたはサービスアカウントキーが使えます。 💡 ユースケース プルリクのCIで `Agent.prompt()` を回してセキュリティ監査を自動化したり、`cloud` キーで多数のエージェントを並列起動して大規模リファクタを別ブランチへPRさせたり、`local.customTools` で社内のデプロイ確認APIをエージェントに与えて自前ワークフローへ組み込む、といった使い方ができます。 ⚠️ 注意点 ローカルモードはサンドボックスやhookを設定しない限り、シェル実行やファイル編集を承認なしで行います。CIでは `local.sandboxOptions: { enabled: true }` を検討してください。Python SDKは存在せず、Node以外の言語からはSDK Bridgeを使うか、Cloud AgentsのREST APIを直接叩きます。`Agent.resume()` ではインラインの `mcpServers` が失われるため再指定が必要で、モデルIDは変わり得るので `Cursor.models.list()` で確認するのが安全です。 #Cursor# #SDK#