檻は、エージェントの実行場所を封じる。持ち出せるものまでは制御しない。

6カ月前、コーディングエージェントが起因した出荷は、Vercel 上で出荷されたすべての 3% 未満でした。今週、同社の CEO は、1 日 600 万件のデプロイのうち過半数を超え、同じ期間に 1 兆を超える AI トークンが自社ゲートウェイを通過したと述べました。エージェントは生産環境に忍び込んだのではありません。2四半期で、それを乗っ取りました。

そこで Vercel は、そのためのランタイムを構築しました。新しい Sandbox は、各エージェントのシェルコマンドとファイル操作を分離された VM に置き、それを駆動するハーネスとは別のセキュリティコンテキストに隔離します。実行はすべて記録され、ツール呼び出しはすべて追跡されます。それを支える原則は明快に述べられています。追跡がなければ、信頼もない。この直感は正しく、そのうち監査の半分は完全に正しいものです。エージェントが動作し、それが何をしたのかを見ることができないならば、手元には何も残りません。

次に、サンドボックスが触れないもう半分についてです。分離はエージェントの実行場所を制御します。エージェントが到達できるものについては何も語りません。そもそもこのものを導入した理由は実作業をさせるためであり、だからこそ実際の資格情報――AWS キー、データベースのパスワード、API トークン、デプロイシークレット――を手渡しています。エージェントが必要とするため、それらは檻の中、エージェントと共に置かれています。サンドボックスはエージェントのシェルがホストへ脱出することを防ぎますが、プロンプトインジェクションを受けた、あるいは乗っ取られたエージェントが、正当に与えられた資格情報を拾い上げ、その資格情報が許すとおりのことに費やす際には、まったく何もしません。檻は被害を封じ込めます。ペイロードは資格情報です。行為者を隔離した上で、鍵を持たせたままにしています。

そして、エージェントは乗っ取られます。今月、それを目撃しました。ゲームを通じて条件付けられたエージェントが、環境に存在していた SSH 鍵とトークンを引き渡したのです。エクスプロイトはなく、脱出もありません。エージェントは、すでに保持していたものを用いて、説き伏せられたとおりのことをしただけです。サンドボックスはその一秒一秒を記録したでしょうが、何も変えなかったでしょう。

対処は、より強固な檻ではありません。鍵をそもそも檻の中に入れないことです。エージェントはあなたの資格情報を保持する必要はありません。必要なのは、動作するその瞬間に、一つの動作に対して一つの資格情報を利用することです。その時点で仲介します。タスクが必要とする単一のリソースにスコープを限定し、発行されたマシンに紐付け、分単位の時計で失効させ、その後は消します。乗っ取られたエージェントが掴める形でサンドボックスに保管されているものはありません。シークレットはそもそもそこに保存されていないからです。エージェントがあなたに向けられたとき――いまや生産環境の半分がエージェントなのですから、そうなる前提で考えるべきです――、到達できるのは一つの作業のための一つの失効付き鍵であって、あなたのキーリングではありません。

これによって、乗っ取られたエージェントが無害になるわけではありません。有効な資格情報を保持している間、その資格情報が許す限りのことを誤用できます。設計によって書き換えられることではありません。変わるのは、損失の大きさです。Vercel のサンドボックスは、悪意あるエージェントが実行できる場所を小さくします。スコープを限定され、仲介され、一時的な資格情報は、それが持ち出せるものを小さくします。両方が必要であり、別々の半分を解決します。業界はランタイムの構築を競っています。もう一方の半分は、エージェントにキーリングを決して持たせないという判断です。現時点では、その半分はいまだに恒久的なシークレットをそのままボックスの中へ出荷し続けています。

勝敗を決める層は、最も優れたモデルを持つ者ではない。エージェントランタイムだ、と Vercel は主張します。半分は正しいです。もう半分は、その内側の資格情報レイヤーです。

私たちは、資格情報システムが決して行ってはならないことの短いリストを持っています。上位に近いのは、シークレットを、それを利用するコードが実行される場所に置いてはならない、というものです。リストはこちらです。

Clavitor (@clavitorai) は、AI エージェントのために、そしてエージェントから守るために構築された資格情報ボールトです。clavitor.ai

出典

Vercel (@vercel)、CEO Guillermo Rauch (@rauchg) 経由: eve エージェントフレームワークと Vercel Sandbox の発表。開示された規模として、エージェントは Vercel のデプロイとコミットの過半数を占めるようになった。6カ月前の 3% 未満から増加。1 日 600 万件のデプロイ。AI Gateway を 1 日 1 兆以上のトークンが通過。[1]

TechCrunch (@TechCrunch): 「Vercel CEO Guillermo Rauch on the fight to split off models from agents」、モデルとエージェントの分離というテーゼと、エンタープライズリスクの枠組み。[2]