生成AI セキュリティで選ぶAIサンドボックス7選【2026年版】

2026年、クラウド型AIエージェントを運用する多くのチームにとって、総合的な第一候補はVercel Sandboxです。ただし、生成AI セキュリティを考えるうえで、価格差だけを見ても本質には届きません。今回の標準ワークロードでは、マネージド型の月額は$55.55〜$288に収まりました。実運用で問われるのは、モデルが生成したコードを独立した実行カーネルで隔離できるか、そして本番の認証情報を一切見せずに外部通信させられるかです。

まず押さえたい7製品

以下の価格と製品上限は、2026年8月19日時点で確認したものです。7製品にはローカルのコーディングエージェント向けとマネージド型クラウドエージェント向けが混在しています。両者では、リスク構造もコスト構造も異なるためです。

この順位は、単純な安さの順ではありません。Northflankは、試算したマネージドクラウドのなかで最安の月額$55.55です。それでもVercelを総合首位としたのは、Firecrackerによる境界、実行中に変更できる外部通信ポリシー、認証情報の仲介が、クラスタを自前運用せずエージェントを製品化したいチームにとって扱いやすい標準構成になるからです。Dockerは、ベンダー利用料なしで非常に充実したローカル境界を提供するため2位ですが、顧客向けジョブを動かすマネージドランタイムではありません。

判断基準は明快です。実際のワークロードで必須となる2つの境界を満たす製品のうち、最も安いものを選びます。 第1の境界は、信頼できないコードを独立カーネル、または同等に強いシステムコール境界の内側に閉じ込めること。第2の境界は、本番シークレットと外部への通信権限を、そのコードの外側に置くことです。平文のAPIキーを受け取る安価なVMは不合格です。隔離が強くても、公開インターネットへ無制限に通信できるVMも同様です。

生成AI セキュリティ向けサンドボックスの選定基準

OpenAIは現在、セキュリティ運用担当者に対し、リスクの高いワークフローを機密性の高い本番システムやオープンインターネットから切り離して実行すること、サンドボックス境界を定期的にテストすること、エージェントの操作を監視すること、許可範囲を明確にすることを求めています。Agents SDKの指針はさらに踏み込み、プロンプトインジェクションと情報流出の試行を前提とし、オーケストレーションとコンピュートを分離し、生成コードが動く環境に認証情報を置かないよう促しています。これは理論上の例外事象ではなく、運用上の指示です。OpenAIが現行の指針を公開したのは8月10日です。

この前提から、各製品を次の2境界テストで評価しました。

1. 実行境界： 敵対的な各ジョブに、専用カーネル、microVM、VM、または仕様が明記されたシステムコール隔離が割り当てられるか。あるユーザーのプロセスやファイルシステムから、別ユーザーの領域へ到達できないか。
2. 外部通信・認証情報の境界： ネットワークをデフォルト拒否にし、指定した宛先だけを許可できるか。通信がサンドボックスを出た後で認証情報を注入できるか。
3. 制御境界： モデルに書き換えられる可能性があるコードの外側に、ポリシー、ログ、クォータ、アイデンティティを置けるか。
4. 運用との適合： ローカル、APIファースト、エッジネイティブ、GPU向け、総合プラットフォームのどれか。強い境界でも運用モデルが合わなければ、使われない仕組みになります。
5. 継続コスト： 販促クレジットを使い切った後、同じワークロードにいくらかかるか。

これは、価格を含めて分析した比較であり、侵入テストを実施したという主張ではありません。価格、上限、機能はすべて公開中の公式ページに基づきます。評価対象に加える条件は、隔離と外部通信の両方を判断できるだけの一次情報があり、一般的な開発環境ではなく、敵対的コードを閉じ込める境界を備えていることでした。

標準ワークロードは月10,000回の実行です。1回は5分間で、2 vCPUと4 GiBのメモリを要求し、CPUが稼働するのは1分間。残りの4分間は、エージェントがファイル、パッケージ、ネットワーク処理を待ちます。この差は重要です。VercelとCloudflareはアクティブなCPUと確保済みメモリを別々に課金しますが、E2B、Daytona、Northflank、Modalは実行時間全体のコンピュートに課金するからです。

現在のエージェント活用には、大きく2つの側面があります。コーディングアシスタントをノートPCで動かすなら、Codex、Claude Code、Cursorの比較にあるワークフローと照らし合わせてください。エージェントがブラウザを操作するなら、AIエージェント向けブラウザ比較で解説しているとおり、ブラウザセッション自体も境界の一部になります。サンドボックスは適切なエージェント選びの代わりにはならず、高性能なエージェントもツール隔離の代わりにはなりません。

1. Vercel Sandbox：クラウド型エージェントチームの総合1位

Vercel Sandboxは、マネージドAPI、強固なコンピュート境界、生成コードへ渡さずに済むシークレット管理を求める製品チームに、最もバランスのよい選択肢です。

各サンドボックスはFirecracker microVM上で動きます。組み込み環境はNode.js 22、24、26とPython 3.13に対応し、カスタムランタイムにはOCIイメージを使えます。セッション時間の上限は、Hobbyの45分に対してProとEnterpriseでは24時間。リソース上限もHobbyの4 vCPUから、Proの8、Enterpriseの32へ上がります。メモリは1 vCPUあたり2 GBに固定されるため、この比較の2-vCPUワークロードにはちょうど4 GBが割り当てられます。

セキュリティ上の強みは、VMが起動した後に現れます。Vercelのネットワークファイアウォールは、プロセスの実行中でもポリシーを変更でき、外向きリクエストがサンドボックスを出る瞬間にだけ認証情報を注入し、選んだリクエストを自社プロキシへ転送できます。これにより、安全な2段階ジョブを組めます。セットアップ中だけパッケージレジストリを許可し、広いアクセス権を外してから、宛先を短いリストに絞ってモデル生成コードを実行する流れです。サンドボックスは必要なツールを利用できますが、GitHub、モデルAPI、オブジェクトストレージへの接続に使うキーそのものは引き継ぎません。

注意点は隔離性能ではなく、設定です。Vercelのファイアウォール文書には、allow-allがデフォルトと明記されています。つまり、新しいサンドボックスは公開インターネットへ無制限に接続できます。Vercelが示す設定パターンでは、広いアクセス権でパッケージをインストールした後、信頼できないコードを動かす前にユーザー定義の許可リストへ切り替えます。オーケストレーションがこの2段階目を省けば、Firecrackerがホストを守っていても、サンドボックス内部に置かれたデータは外へ送信されかねません。認証情報の仲介によりゲストが平文キーをコピーすることは防げますが、ジョブ実行中、許可されたリクエストを通じて生成コードがそのキーを悪用することまでは防げません。

7月7日の可観測性アップデートにより、このポリシーを運用上の制御へつなげられるようになりました。チームはアクティブCPU、確保済みメモリ、データ転送量、実行中のサンドボックスとセッションを追跡し、Sandbox NameとSandbox Session IDごとにメトリクスを集計できます。Vercelは全プランにSandboxの可観測性を含めています。ProとEnterpriseでは手動クエリも可能です。予算管理への効果は具体的です。ジョブ種別をタグ付けして費用を配賦し、外部通信量や生存時間が通常範囲を外れたセッションを調査できます。

最適な用途： Vercelスタック上のマネージド型コーディングエージェント、コードインタープリター、プレビュービルダー、顧客向け実行環境。
際立つ点： Firecracker、実行時の外部通信ポリシー、認証情報の仲介、任意のリクエストプロキシを1製品に統合。
料金： Hobbyは$0。Proは月額$20で$20分の利用クレジットを含み、超過分はActive CPU 1時間あたり$0.128、確保済みメモリ1 GB時間あたり$0.0212、100万回の作成あたり$0.60、ネットワーク1 GBあたり$0.15、スナップショット1 GB月あたり$0.08。Enterpriseは個別見積もりです。
無料枠： HobbyにはActive CPU 5時間、メモリ420 GB時間、5,000回の作成、ネットワーク20 GB、同時実行10サンドボックス、スナップショットストレージ15 GBが含まれます。Proトライアルもあります。

Vercelを安全に導入する手順

1. 1

   脅威モデルを書く

   生成コードに読み取り、書き込み、呼び出し、公開を許す対象を列挙します。リポジトリの認証情報、本番データベース、クラウドメタデータ、社内管理APIは、原則としてサンドボックスの外側に置きます。

2. 2

   クリーンなイメージを作る

   組み込みランタイム、またはジョブに必要なツールだけを含むOCIイメージから始めます。顧客データと長期有効な認証情報は、イメージにもスナップショットにも入れません。

3. 3

   セットアップ時だけ外向き通信を開く

   セットアップに必要なパッケージレジストリ、ソースホスト、アーティファクトストアだけを許可します。一時的に広いアクセスが必要なら、曖昧な運用慣行ではなく、明示的なオーケストレーション手順としてポリシー変更を組み込みます。

4. 4

   ネットワークを閉じる

   モデル生成コードを開始する前に、指定した宛先だけを許可し、それ以外をすべて拒否します。一貫したポリシーが必要な高リスク通信は、自社プロキシを経由させます。

5. 5

   シークレットを個別に仲介する

   承認済みのホストとリクエスト形式に限って、認証情報を注入します。microVMで隔離されているという理由だけで、平文値を環境変数へコピーしてはいけません。

6. 6

   監視して破棄する

   ログをストリーミングし、実行時間とリソースに上限を設け、必要な出力だけを保存してサンドボックスを破棄します。ブロック対象ホストへの到達と、仲介されたキーの取得を試すテストを定期実行します。

結論： インフラ判断を最小限にしつつ、弱い境界を受け入れたくないなら、Vercelが標準候補です。ローカル実行、自社クラウド、GPU対応のいずれかが最優先なら、別製品を選びます。

2. Docker Sandboxes：ローカルのコーディングエージェントに最適

Docker Sandboxesは、安心感のある名前を付けただけの通常コンテナではなく、独立したmicroVM製品です。そのため、今回の比較では最も強力なローカル向け候補となります。

主たる信頼境界はmicroVMです。各サンドボックスは独立したカーネルと専用のDocker Engineを持ち、ホスト側Dockerデーモンへは到達できません。外向きTCP通信はデフォルト拒否のポリシーを持つホスト側プロキシを通り、外部への直接UDP・ICMP通信は遮断されます。API認証情報は、平文をVM内へ置かずにHTTPヘッダーへ注入できます。無人で動くCodex、Claude Code、Copilot CLI、OpenCode、Kiroにとって、本格的なローカルアーキテクチャです。

ベンダー料金も明快です。sbx CLIは$0で、席単位の料金がなく、商用利用もできます。管理されたネットワーク、ファイルシステム、MCPポリシーと監査ログを含む組織全体の一元管理には、別途有料サブスクリプションが必要です。実際のコンピュート費用はノートPCやワークステーション側へ移ります。したがって、Dockerの$0とNorthflankの$55.55をそのまま比べるべきではありません。比較すべきなのは、ローカルハードウェアと運用者の時間、それに対するマネージドサービスです。

注意点は、ローカル作業とホストが接する場所にあります。ダイレクトモードはワークスペースを読み書き可能でマウントするため、エージェントはGitフック、CI設定、IDEタスク、Makefileターゲット、パッケージスクリプトなど、後から開発者がVM外で実行するファイルを変更できます。--cloneならホスト側リポジトリは読み取り専用になり、エージェントにはプライベートクローンが渡るため、未知のリポジトリや自律実行にはこちらが安全です。Dockerはほかにも、デフォルトの許可リストに広いワイルドカードドメインが残る場合があること、共有エージェントスキルは無効にしない限りサンドボックスをまたぐ読み書き可能なストアになること、ローカルstdio MCPサーバーはmicroVM内ではなくホスト上で動くことを警告しています。

Docker Sandboxes 0.38.0は8月6日に公開されました。Kit spec v2、MCPのファーストクラス管理、ホストに保持されるOAuth認証情報、組織向けCedarポリシー、サンドボックス単位の--deny-network HOST制御が加わり、CVE-2026-17106も修正されています。ここから導くべきなのは、リリースノートを眺めて終えることではなく、保守ルールです。ローカル隔離ソフトウェアには強制更新の周期が必要であり、新たに一元化されたMCP接点にも、VMの外へ出るほかの橋渡しと同じホスト信頼性レビューが欠かせません。

このため、Docker Sandboxesは開発者の端末には非常に向いていますが、クラウドバックエンドの代替としてそのまま使うには不向きです。エージェントの操作の大半からワークステーションを守れる一方、ワークスペース、共有スキル、ホスト側MCP連携は意図的に残された橋です。それぞれを個別にレビューする必要があります。

最適な用途： 広範なホストアクセスを与えずに、パッケージ導入、Dockerビルド、無人実行を行うローカルコーディングエージェント。
際立つ点： ベンダー利用料$0で、microVM隔離、デフォルト拒否のプロキシ通信、ホスト側の認証情報注入を提供。
料金： コアCLIは$0で、席単位の料金なし。組織向けガバナンスは個別見積もりです。
無料枠： コアCLIと隔離されたローカルサンドボックスは無料です。

結論： Docker Sandboxesはローカルエージェントに使い、リスクの高い作業ではクローンモードを有効にします。広すぎるネットワークルールを絞り、すべてのホストMCPサーバーを特権コンポーネントとして扱ってください。代替するハードウェアと運用を見積もるまでは、マネージドAPIと単純比較できません。

3. Cloudflare Sandbox SDK：エッジでポリシーを組み込むなら最適

Cloudflare Sandbox SDKは、制御プレーンがすでにWorkers上にあり、エージェントのインターネット接続を厳密にプログラムしたい場合に最適です。

Cloudflare Containersは、サンドボックスごとに独立したVMを使い、ファイルシステム、プロセス、ネットワークを隔離し、個別のリソースクォータも適用します。セキュリティページはテナント設計について明快です。1つのサンドボックス内のプロセスは、ファイル、プロセス、localhostネットワークを共有するため、ユーザーごとに別のサンドボックスを使うよう求めています。この一文は、抽象的な「完全隔離」という説明より有用です。アーキテクトがアイデンティティ境界をどこに引くべきか分かるからです。

第2の境界はWorkersの自然な延長にあります。公開インターネットへの接続はデフォルトで許可されていますが、enableInternet = falseにすると、allowedHostsまたは外向きハンドラーが認めた通信以外は拒否されます。外向きハンドラーはサンドボックス外の信頼済みWorkersランタイムで動き、Authorizationヘッダーを注入し、認証情報をサンドボックスインスタンス単位に限定できます。ゲストが本物のトークンを受け取ることはありません。インターネットを無効にすると、HTTP以外の通信は拒否され、DNSもCloudflareのサーバーしか使えないため、単純な情報流出経路を閉じられます。

率直に挙げるべき注意点は、公開方法と成熟度の2つです。クイックトンネルはランダムなtrycloudflare.comホスト名を使い、別個のアクセストークンはありません。URLを知る人は誰でも接続できるため、機密性のあるプレビューにはアプリケーション認証が別途必要です。8月13日更新の概要では、新規プロジェクトに@cloudflare/sandbox@nextを推奨し、SDK 1.0をプレビューと位置付けています。影響範囲を狭くした初期製品なら許容できますが、安定版のみを採用する規制対象組織では、待つか、機能が少ない現行安定パッケージへ固定する必要があります。

Cloudflareでは、固定されたインスタンスサイズも価格比較に影響します。標準ジョブの要求は2 vCPUと4 GiBですが、条件を満たす最小構成は2 vCPU、8 GiB、16 GBディスクのstandard-3です。メモリ単価が低いため競争力は保てるものの、この例では確保したメモリの半分を使いません。

最適な用途： Workersベースのエージェント、エッジアプリケーション、ブラウザターミナル、コードコンテキスト、HTTP中心で外部通信をプログラム制御するワークロード。
際立つ点： 認証情報と外部通信ロジックをサンドボックス外のWorkersに置き、宛先とインスタンスごとに限定できる。
料金： Workers FreeにはContainersもSandbox SDKも含まれません。Workers Paidは月額$5で、375 vCPU分、メモリ25 GiB時間、ディスク200 GB時間を含みます。超過分はvCPU秒あたり$0.000020、GiB秒あたり$0.0000025、ディスクGB秒あたり$0.00000007です。
無料枠： Sandbox専用トライアルはなく、ContainersにはWorkers Paidが必要です。

結論： Cloudflareは、Workersがすでに信頼済みの制御層であり、HTTPポリシーが主要な制御面なら、Vercelに代わる最有力候補です。まずインターネットを無効にし、すべてのトンネルへアプリ認証を加え、固定インスタンスサイズを予算に織り込んでください。

4. E2B：ポータブルなエージェント基盤に最適なmicroVM API

E2Bは、大規模なデプロイプラットフォームから独立したエージェント用サンドボックスを求めるチームにとって、最も焦点の明確なAPIファーストのmicroVM製品です。

E2Bの各サンドボックスは、専用のカーネル、メモリ、ページキャッシュを持つFirecracker microVM上で動きます。カーネルが分かれていることには意味があります。1つのゲスト内にカーネル脆弱性があっても、ホストへ到達するにはさらにFirecrackerから脱出しなければなりません。SDK v2.0.0以降は、安全なコントローラーアクセスもデフォルトで有効です。コントローラー呼び出しには、サンドボックス作成時に返されたアクセストークンが必要になります。古いカスタムテンプレートは、この構成で動かす前に再ビルドが必要な場合があります。

APIには必要なネットワーク機能がそろっています。allow_internet_access、allowOut、denyOut、外向きプロキシです。インターネットアクセスをfalseに設定すると、0.0.0.0/0を拒否した場合と同様に動作します。現行の作成リクエストではこれらの制御が明示されていますが、引用した製品ページ上では、Vercel、Cloudflare、Daytona、Dockerに相当するファーストクラスの認証情報ブローカーをE2Bは示していません。生成コードが本番トークンを必要とする場合は、ゲストの環境変数へ渡さず、E2Bの外側に信頼済みプロキシを置いて、そこで認証情報を注入します。

デプロイ制御が最重要なら、E2Bの魅力は増します。Enterprise BYOCは現在AWSとGCPに対応しており、テンプレート、スナップショット、実行時ログ、機密トラフィックは顧客のVPC内に残ると同社は説明しています。一方、安価な4 GiBカスタムインスタンスを求める場合には不利です。料金ページではカスタムCPUとRAMがPro向けとなり、利用料の前に月額$150が加わるからです。

Hobbyは評価用途に十分な内容です。料金は$0＋従量課金で、1回限りの$100利用クレジットが付き、カードも不要です。セッションは最長1時間、同時実行は20サンドボックスまで。Proではセッションが24時間、同時実行が100に広がり、追加購入で1,100まで増やせます。アップグレードで上限は上がりますが、毎月の利用クレジットが付くわけではありません。

最適な用途： APIファーストのエージェント、コードインタープリター、評価ワークロード、AWSまたはGCPのBYOCを必要とする企業。
際立つ点： エージェント向けのシンプルなAPIの背後で、サンドボックスごとにFirecrackerカーネルを提供。
料金： Hobbyは$0＋従量課金。Proは月額$150＋従量課金。Enterpriseは個別の基本料金＋従量課金です。CPUはvCPU秒あたり$0.000014、またはvCPU時間あたり$0.0504。メモリはGiB秒あたり$0.0000045、またはGiB時間あたり$0.0162です。ストレージはHobbyに10 GiB、Proに20 GiBが含まれます。
無料枠： Hobbyで1回限りの$100利用クレジット。クレジットカードは不要です。

結論： E2Bは、この7製品で最もすっきりした独立系microVM APIです。Proの基本料金よりポータビリティやBYOCを重視する場合に選び、後付けの強化策ではなく、信頼済みの外部認証情報プロキシを最初から設計へ含めてください。

5. Daytona：認証情報プロキシと柔軟なランタイム構成に最適

Daytonaは、今回の7製品で最も明確に文書化された認証情報ブローカーを備えています。起動の速い標準コンテナに加え、専用Linux VMまたはWindows VMも選べます。

シークレットの設計は非常に具体的です。Daytonaは暗号化した組織認証情報を保管し、サンドボックス内には不透明なプレースホルダーだけを置きます。外向きHTTPS通信がプロキシを通る際、その値を本物の認証情報へ差し替えます。実際の値を送るのは許可されたホストだけで、レスポンス内にシークレットが反射されても、ゲストへ届く前に除去します。生成コードはトークンを使えても、その値を読み取れません。

ただし、危険な無効化条件が1つあります。シークレットのhostsフィールドを省略すると制限がなくなり、プロキシがどの宛先に対しても本物の値へ置換する可能性があります。文書では、すべてのシークレットに許可リストを設定するよう勧めています。また、置換できるのはHTTPSヘッダーだけです。リクエスト本文、クエリ文字列、平文HTTP、Base64でエンコードしたBasic Authのような変換済み値には使えません。キーを本文でしか受け付けないベンダーへの通信は、Daytonaのブローカーでは保護できません。

ネットワーク制御には、ドメインとCIDRの許可リスト、外向き通信の完全遮断、上流プロキシがあります。Tier 1とTier 2の組織制限が優先され、サンドボックス単位では緩和できません。一方、Tier 3とTier 4では、公開インターネットへの接続がデフォルトで全面許可されるため、敵対的ジョブ向けには絞り込みが必要です。購入時に問うべきなのは、Daytonaが許可リストに対応しているかではありません。組織のTierとサンドボックス設定を組み合わせた最終的なポリシーが、狙いどおりになるかです。

もう1つの決め手は、ランタイムを選べることです。標準のLinuxコンテナは高速に起動します。さらにDaytonaは、専用Linux VM、Windows VM、H100、H200、RTX PRO 6000、RTX 5090、RTX 4090を選べるGPUサンドボックスも提供しています。信頼済みのビルド処理なら、コンテナの速度を優先する判断も合理的です。敵対的なマルチテナントコードには、「sandbox」という名称だけで最強の境界だと思い込まず、明示的にVMクラスを選んでください。

最適な用途： 認証情報を見せずに外部APIを呼ぶ必要があるエージェント、LinuxとWindowsの混在ワークロード、GPU実行。
際立つ点： プレースホルダーのシークレット、ホスト限定のHTTPS注入、ゲスト外でのレスポンス除去。
料金： 公開サービスは基本料金$0の従量課金です。CPUはvCPU時間あたり$0.0504、メモリはGiB時間あたり$0.0162、ストレージは最初の5 GiBを超える分についてGiB時間あたり$0.000108。顧客管理コンピュートは営業窓口での契約です。
無料枠： クレジットカード不要で、$200分のコンピュートを無料利用できます。

結論： サンドボックス作成よりも安全なシークレット受け渡しのほうが難しいなら、Daytonaが最適です。必ずhostsを設定し、本当に敵対的なテナントコードにはVMを選び、実効的な組織ネットワークTierをリリース審査の対象にしてください。

6. Northflank：BYOCとプラットフォーム制御に最適

Northflankは、サンドボックスを自社クラウドアカウント内に置き、サービス、データベース、ジョブ、ポリシーを備えた広範なアプリケーション基盤と統合したい場合に最適です。

Northflankは、VM相当のワークロード隔離としてKata Container microVMまたはgVisorを提供します。現行のインフラページによれば、各コンテナには専用カーネルが割り当てられ、名前空間、リソース、ストレージ、ネットワークの境界で囲まれます。サービスメッシュはワークロード間に相互TLSを加え、プロジェクト単位のネットワークポリシーとプライベートネットワークによって、意図しないプロジェクト間アクセスを減らします。

デプロイ先の選択肢は、今回のAPIファースト型ランナーのどれよりも広範です。Northflankのマネージドクラウドに加え、AWS、GCP、Azure、Civoのアカウントを接続でき、オンプレミス、ベアメタル、公開クラウド上の顧客Kubernetesにも対応します。microVM対応のBYOCノードプールでは、ワークロードにmicroVM隔離がデフォルトで適用されます。データ所在地、既存のクラウド契約、プライベートサービスへの接続、そしてアプリ基盤とサンドボックス基盤を一括管理したい企業に向く構成です。

この広さは、そのまま注意点にもなります。小規模なエージェント製品が、自動的にクラスタ、プロジェクト、サービスメッシュ、デプロイテンプレート、データベース、プラットフォーム制御プレーンを必要とするわけではありません。Northflankのリソース試算が最安でも、運用責任者がいなければ組織全体のコストは高くなり得ます。BYOCまたは周辺プラットフォームをもともと必要とする購入者には合います。それ以外のチームは、安い単価を評価する前に、VercelやE2Bとの差額とエンジニアの工数を比べるべきです。

無料のSandbox Tierでは、2個の無料サービス、1個の無料データベース、2個の無料cronジョブを使え、プラットフォームの学習に適しています。本番コンピュートは秒単位で課金され、vCPU時間あたり$0.01667、GB時間あたり$0.00833です。外部通信は1 GBあたり$0.06、SSDストレージは1 GB月あたり$0.15です。

最適な用途： BYOC、プライベートサービス、データ所在地要件、サンドボックスとアプリ基盤を1つのプラットフォームで運用したいチーム。
際立つ点： マネージドクラウドまたは顧客所有クラウド内でのKata・gVisor隔離。
料金： Sandboxは無料。Pay-as-you-goは月額$0からで、vCPU時間あたり$0.01667、メモリGB時間あたり$0.00833、外部通信1 GBあたり$0.06、SSD 1 GB月あたり$0.15。Enterpriseは個別見積もりです。
無料枠： 2サービス、1データベース、2 cronジョブを含む無料Sandbox Tier。

結論： 自社クラウドへの配置または統合プラットフォームが必須なら、Northflankが正解です。2人規模の製品チームにとって自動的に割安とは限りません。最も安いメーターが、最も大きなプラットフォーム運用を生むこともあるからです。

7. Modal：Python・ML・GPU中心の実行に最適

Modalは、生成コードをPython、ノートブック、モデル推論、または突発的なGPU処理と組み合わせる場合に、今回のなかで最も適したサンドボックスです。

Modal SandboxesはgVisorを使い、ゲストワークロードとホストカーネルの間でシステムコールを捕捉・制限します。標準のSandboxは、外部からのネットワーク接続を受け付けず、ほかのModalリソースへもアクセスできません。プラットフォーム内部での影響範囲を抑えられるため、データ分析やモデル中心のジョブには強力な実行基盤です。

外向き通信のポリシーは、それほど保守的ではありません。サンドボックスはデフォルトで任意の公開IPへ接続できます。Modalはネットワークの完全遮断、CIDR許可リスト、TLS通信向けのベータ版ドメイン許可リストに対応していますが、明示的に有効化する必要があります。実行中にポリシーを厳しくする場合にも、セットアップ上の条件があります。後からドメインまたはCIDRのリストを絞るには、作成時点でその種類の許可リストを有効にしておく必要があります。block_network=Trueは同じ動的経路では変更できないため、セットアップ時だけネットワークを開くエージェントは、ライフサイクルを事前に設計しなければなりません。

Modalの経済的な強みは、サンドボックス単体の最安料金ではなく、周辺にあるサーバーレスMLプラットフォームです。1物理コアは2 vCPUに相当し、コア秒あたり$0.00003942。メモリはGiB秒あたり$0.00000667です。Starterは$0＋コンピュート料金で、毎月$30クレジット、ワークスペース3席、100コンテナと10 GPUの同時実行枠を含みます。Teamは月額$250＋コンピュート料金で、毎月$100クレジットが戻り、無制限の席、5,000コンテナと50 GPUの同時実行、固定IPプロキシ、環境別予算、カスタムドメイン、デプロイのロールバックが加わります。

同じプラットフォームでモデル、スケジュール関数、GPUジョブも動かすなら、Modalは採用理由を説明しやすい製品です。一方、主な要件がmicroVM隔離と認証情報仲介だけのコードインタープリターでは、正当化しにくくなります。現行のSandboxセキュリティページにはネットワーク制御とプラットフォーム隔離が記載されていますが、DaytonaやCloudflareほど明示的な外部シークレット注入の仕組みは示されていません。

最適な用途： Pythonエージェント、ノートブック、データ分析、MLパイプライン、GPU負荷の高い生成コード処理。
際立つ点： ModalのサーバーレスCPU・GPUプラットフォームと統合されたgVisor Sandboxes。
料金： Starterは$0＋コンピュート料金で、毎月$30クレジット付き。Teamは月額$250＋コンピュート料金で、毎月$100クレジット付き。Enterpriseは個別見積もりです。Sandbox CPUは物理コア秒あたり$0.00003942で、1コアは2 vCPU。メモリはGiB秒あたり$0.00000667です。
無料枠： Starterで毎月$30クレジット。

結論： サンドボックスがMLまたはGPUシステムの一部なら、Modalが有力です。単純な敵対的コード実行APIなら、Vercel、Cloudflare、E2B、Daytonaのほうが、セキュリティ担当者にとって直接的な導入経路になります。

月額試算から本当に読み取るべきこと

マネージド型の最安試算は$55.55、最高は$288で、月額差は$232.45です。規模が大きければ無視できませんが、社内ランナーを保守するエンジニア1人の人件費や、本番トークン流出事故1件の損失に比べれば小さな額です。低い3桁の月額を節約するために、平文シークレットや開放された外向き通信を受け入れてはいけません。

これは比較用の試算であり、実際の請求額ではありません。Vercelは、Proの基本料金$20を付属の$20利用クレジットで相殺する前提です。Cloudflareは2-vCPU要件を満たすため、8-GiBメモリと16-GBディスクを持つstandard-3を割り当てる必要があります。E2Bはカスタム4-GiB構成を使うため、$150のProプランを含めています。Modalは毎月の$30 Starterクレジットを差し引いています。Daytonaの$200とE2Bの$100は1回限りなので、定常運用の行からは引いていません。

課金方式によって順位は逆転します。VercelとCloudflareはActive CPU課金なので、I/O待ちの間は安くなります。CPUが5分間すべて動くと、Vercelは$113.34から$284.01へ、Cloudflareは$91.63から$187.63へ上昇します。コンパイル負荷の高いコーディングエージェントは、CPUが動き続けるケースも試算すべきです。ページ待ちが多いブラウザエージェントなら、1分間の想定に近づく可能性があります。

この条件でVercelとDaytonaの実用的な損益分岐点は、5分間の実行中、Active CPUが1.58分、つまり約95秒です。それより短ければVercelのActive CPU課金が有利で、長ければネットワークとストレージを除いてDaytonaの実行時間ベース料金が安くなります。料金に見えて、実はワークフローの問題です。総経過時間だけで予算を組まず、エージェントが実際に計算している時間を測ってください。

より大きな予算項目は、運用責任です。Northflankの$55.55は魅力的に見えますが、クラスタ、ポリシー、デプロイテンプレート、インシデント対応、それらを理解するエンジニアまで足す必要があります。E2Bの$288も高く見えますが、BYOCによって別のプラットフォーム構築が不要になるなら評価は変わります。健全な購入判断では、vCPU単価だけでなく、運用負担の総額を比較します。

目的別の選び方

最も無難なマネージド構成が必要で、信頼できない処理の前にネットワークポリシーを厳しくできるなら、Vercel Sandboxを選びます。BYOC、ローカル実行、GPU対応のいずれかが必須になると、Vercel以外へ判断が変わります。

開発者がCodex、Claude Code、Copilot CLI、OpenCode、Kiroをローカル実行するなら、Docker Sandboxesです。リスクの高いリポジトリにはクローンモードを使います。顧客ジョブ、高い同時実行数、一元的な稼働保証、リモートAPIが要件に入れば、マネージド製品へ切り替えます。

Workersがすでに信頼済みの制御プレーンで、許可する通信の大半がHTTPなら、Cloudflare Sandbox SDKを選びます。1.0前のSDK成熟度、または固定されたContainerサイズのほうがリスクを増やすなら、別製品へ切り替えます。

独立したFirecracker API、またはAWS・GCPのBYOCが必要なら、E2Bです。カスタムメモリによって月額$150のPro基本料金を正当化しにくい場合や、外部の認証情報プロキシを構築したくない場合は、ほかを選びます。

エージェントに値を見せず外部サービスのシークレットを使わせたい場合、またはLinux VM、Windows VM、GPUクラスを1つのAPIの背後にまとめたい場合は、Daytonaです。全ワークロードが単純なLinux microVMで済み、追加のランタイム選択に価値がないなら、別製品が向きます。

自社クラウド内のプライベートサービスと並べてサンドボックスを配置するなら、Northflankです。コンピュート単価を下げるためだけにプラットフォームチームを新設することになるなら、判断は逆転します。

実行層をPython、ノートブック、モデル推論、スケジュール関数、GPUから切り離せないなら、Modalです。ジョブが敵対的コードの実行だけで、セキュリティ重視のAPIならポリシー作業を減らせる場合は、そちらへ切り替えます。

ランナーより先にエージェントを選ぶ読者には、AIコーディングアシスタント比較が上流の判断材料になります。この2つは分けて考えてください。アシスタントが決めるのは作業をどう生成するか、サンドボックスが決めるのは生成された作業が何に触れられるかです。

避けるべき構成

セキュリティ文書が「隔離済み」で終わるランナー： 調達時には、カーネル境界、テナント分離、デフォルトの外向き通信、認証情報の置き場所、ログ、更新責任について、文書による回答が必要です。6項目すべてに答えられないベンダーのゲスト環境には、本番データやキーを入れてはいけません。

Docker Sandboxesと取り違えた素のDocker Engineコンテナ： docker runはsbx microVM製品ではなく、独立カーネル、ホスト側ネットワークプロキシ、認証情報注入、クローンモードのワークスペース境界も引き継ぎません。名前とアーキテクチャは別物です。

未知のリポジトリをダイレクトモードで扱うDocker Sandboxes： VMはホストの大半を守りますが、エージェントは作業ツリーを直接編集します。変更されたGitフックやパッケージスクリプトが、後からホスト上で実行される可能性があります。--cloneを使い、VMの外へ出るすべての接点を確認してください。

アプリ認証のないCloudflareクイックトンネル： ランダムなホスト名に別個のアクセストークンはありません。URLは発見され得るものとして扱い、機密プレビューを公開する前にサービスへ認証を設けます。

hostsを設定していないDaytonaシークレット： 省略するとシークレットは無制限になります。承認する宛先を明示して初めて、ブローカーの価値が生まれます。

セットアップ後もallow-allのままの構成： Vercelが明確に示す正しいパターンは、セットアップ中だけ広く許可し、その後の実行フェーズでは制限することです。ポリシーを絞らなければ、microVMはホスト侵害を抑えても、コードによるデータ送信は止められません。

最後の点こそ、この分野を分ける基準です。隔離が答えるのは「コードは外へ脱出できるか」。外向き通信と認証情報ポリシーが答えるのは「脱出しなくてもコードに何ができるか」です。どちらの失敗でも、事業上は同じ結果、つまり本番データの社外流出につながり得ます。

月曜日に最初にやること

月曜日をベンダーデモから始めてはいけません。まず、モデル生成コードが動く場所をすべて1ページにまとめます。

1. 実行経路に名前を付ける。 ローカルのコーディングエージェント、CIジョブ、ブラウザエージェント、データ分析ノートブック、コードインタープリター、顧客向けプレビュービルダーを含めます。
2. 現在の境界を描く。 カーネルまたはランタイムの隔離、マウントされたファイル、到達可能なネットワーク、ゲストが利用できるすべての認証情報を書き出します。
3. シークレットを外へ移す。 APIキーは、信頼済みオーケストレーター、Worker、ホストプロキシ、またはプロバイダーの認証情報ブローカーに置きます。サンドボックスの環境変数もコードから読めることに変わりはありません。
4. 外向き通信をデフォルト拒否にする。 セットアップ中だけパッケージホストを許可し、生成コードを開始する前に宛先リストを最小限へ切り替えます。
5. 2つの障害訓練を実施する。 別テナントのファイルまたはプロセスの読み取りを試し、次に仕込んだトークンを未承認ホストへ送ってみます。通信が遮断され、役に立つログが残ることの両方が必要です。
6. 責任者と上限を決める。 ポリシー変更、境界テストの失敗、イメージ、ログ、支出をレビューする担当者が必要です。トラフィックが増える前に、実行時間、同時実行数、CPU、メモリ、月間予算の上限を設定します。

製品を購入するのは、この1ページができてからで構いません。リスクがローカルだけのチームなら、Docker Sandboxesとクローンモードで完結するかもしれません。Vercel上の製品チームなら、必要なのはネットワークポリシーの変更と仲介されたシークレットだけかもしれません。規制対象のプラットフォームなら、NorthflankやE2BのBYOCが妥当だと分かる可能性があります。月曜日の成果物は新しい契約ではなく、境界についての判断です。

よくある質問

セキュリティが最も優れたAIツールはどれですか？

今回の比較で、Vercel Sandboxはマネージド型の総合1位です。Firecracker microVM、実行時の外向き通信ポリシー、認証情報の仲介を組み合わせているためです。ローカルのコーディングエージェントにはDocker Sandboxes、自社クラウドへの配置が必須ならNorthflankまたはE2Bが有力になります。勝者を決めるのは、必要な信頼境界です。

2026年のAIセキュリティにはどんなトレンドがありますか？

実務では、独立カーネル、ゲスト外での認証情報注入、デフォルト拒否の外向き通信、境界テストの反復へ移行しています。OpenAIが8月10日に示した指針も、実務上の結論を明確にしています。高機能なエージェントを本番システムとオープンインターネットから隔離し、その試行を監視することです。

2026年に無料で使えるAIサンドボックスはありますか？

あります。Docker SandboxesのCLIは$0で、席単位の料金もありません。Vercelには上限付きのHobbyプラン、E2Bには1回限りの$100クレジット、Daytonaには$200分のコンピュート、Northflankには無料Sandbox Tier、Modalには毎月$30のStarterクレジットがあります。Cloudflare Sandboxには月額$5のWorkers Paidプランが必要です。

AIサンドボックスとは何ですか？

AIサンドボックスは、エージェントが生成コードを実行するための隔離環境です。ホスト、ほかのユーザー、本番システム、シークレット、無制限のネットワーク経路へ広くアクセスさせずに処理できます。本番向けのサンドボックスには、実行境界と、それとは別の外向き通信・認証情報境界の両方が必要です。

AIビジネスワークフロー監査チェックリストをダウンロードして、サンドボックス選定を、対象範囲が明確なワークフロー、責任者、統制項目、見直し周期へ落とし込んでください。