サンドボックスとは何か — 壊れても捨てられる場所で動かす
AI エージェントの事故を防ぐ話は、たいてい「賢くする」ではなく「置き場所を変える」で始まります。工場に例えると試運転室で、壊してもよい部屋の中だけで動かします。
捨てられる場所で動かす
エージェントを手元のパソコンや社内ネットワークの直下で動かすと、間違いがそのまま本物のファイルとネットワークに届きます。コンテナや仮想マシンの中で動かせば、壊れるのは数秒で捨てられる箱だけです。Anthropic のコンピュータ操作の公式ガイドも、専用の仮想マシンやコンテナで権限を最小にして動かすことを安全上の推奨として挙げています。
| 動かす場所 | 間違えたときに壊れるもの |
|---|---|
| 手元のパソコン・社内ネットワークの直下 | 本物のファイル、社内の共有、つながっている先すべて |
| コンテナ・仮想マシンの中 | その箱の中身だけ。捨てて作り直せる |
| 提供元の雲の中（製品が用意する隔離） | 提供元の環境の中だけ。記録の残り方は製品ごとに違う |
読む手と、変える手を分ける
隔離と対になるのが、渡す道具の分け方です。閲覧・検索・参照の道具は自由に使わせ、削除・反映・更新の道具は最初から持たせません。大事なのは、分離を「渡す道具そのもの」で担保することです。Anthropic の MCP 仕様 は、ツールに付いた説明書きについて「信頼できるサーバーから来たものでない限り、クライアントはそれを信用してはならない」と定めています。つまりツールが自分で名乗る「これは読み取り専用です」を鵜呑みにしてはいけない、ということです。
| 手 | 例 | 既定 |
|---|---|---|
| 読む手 | ファイルの閲覧・検索、データの参照 | 自由に使わせる |
| 変える手 | 削除、コードの反映、データの更新、送信・購入 | 最初から持たせない。要るときに、範囲を決めて渡す |
製品の欄で確かめる
下の表は RenkeiMap の AI ツール一覧 から機械で描いています（記号や札をクリックすると原文・出典）。同じ「隔離できます」でも、既定で有効な製品と、自分で有効にする製品があります。
比較項目:
| システム | 業務安定性 | |
|---|---|---|
| 実行ログの保持 | 検証環境 | |
| Agentforce（エージェントフォース） | ― 編集部まとめ出典()
Einstein 基盤のセキュリティ文書 確認したもの: 信頼できる AI のページには、Trust Layer の機能のひとつとして監査証跡が挙がっている。また Einstein 基盤のセキュリティ文書（PDF）には、提供に使う各システムがそれぞれの記録の仕組みか集中管理の仕組みへ情報を記録すること、利用者のアクセス記録に日付・時刻・部分的な URL を残すことが書かれている。しかし、いずれも自社の安全管理のための記録についての説明で、利用者がエージェントの実行内容をどれだけの期間さかのぼって見られるのかを示す記述は無い。料金ページの比較表にも保持期間の行は無い。 調査日 | ― 編集部まとめ出典()
Einstein 基盤のセキュリティ文書 確認したもの: 公式製品ページ（日本語）・仕組みのページ・料金ページ・開発者ドキュメント（Agent API の 4 ページ）・Einstein 基盤のセキュリティ文書（PDF）を開いたが、Agentforce を試すための検証用の環境について書いた記述は無い。PDF には、機能ごとに環境を分けていること（とくに検証用と本番）が書かれているが、これは提供側の構成についての説明で、利用者に検証環境を用意するという記述ではない。関連する案内が置かれている help.salesforce.com は JavaScript で描画されるため機械では本文が取得できない。 調査日 |
| Antigravity（Google） | 会話の履歴は手元の作業フォルダごとに残り、いつでも選び直して再開できる。 どれだけの期間残るのかを示す記述は、開いた範囲では見つからなかった。規約には、利用者のデータ・操作の記録・関連する情報を記録して保存すること、削除を希望する場合は所定のメール宛先に依頼できることが書かれている。 | コマンドライン版に、基本ソフトの機能を使って実行を閉じ込める仕組みがある。既定では無効で、設定ファイルで有効にする。有効にすると、実行前の確認に「隔離を外して 1 回だけ実行する」という選択肢が出る。 閉じ込め方は Linux が nsjail、macOS が sandbox-exec、Windows が AppContainer。無効にしている場合でも、危なそうなコマンドはその場で「隔離して実行する」を選べる。仮想マシンを立てる方式ではないと明記されている。 |
| Claude Code | 作業の記録は手元のパソコンに 30 日間そのまま残り、期間は設定で変えられる。 Anthropic 側に残る期間は契約で分かれ、商用（Team／Enterprise／API）は 30 日、個人契約はモデルの改善にデータを使うことを許可していれば 5 年、許可していなければ 30 日。ブラウザで動かす形態では、その中の操作がすべて記録されると別ページに書かれている。 | シェルコマンドをファイルとネットワークの両面で隔離して動かす仕組みが本体に入っている。macOS・Linux・WSL2 で動き、Windows をそのまま使う形には対応していない。 既定では作業フォルダとその回だけの一時フォルダにしか書き込めず、書き込み先や通信先は設定で広げられる。ブラウザで動かす形態では、作業ごとに切り離された仮想マシンが割り当てられ、一定時間使われなければ回収されると別ページに書かれている。 |
| Claude Cowork | 既定では中身は含まれず、指示文や応答本文、道具のやり取りは設定で明示的に有効にしたときだけ含まれる。 書き出し先は利用する側が用意するため、どれだけ残すかは利用する側が決める。Cowork 自身がこれらの記録をどれだけの期間持つのかを示す記述は、開いた範囲では見つからなかった。 | ― 編集部まとめ出典()
公式ドキュメント（概要） 確認したもの: 公式ドキュメントの概要（claude.com/docs/cowork/overview）と記録の書き出し、公式製品ページ、料金ページ、稼働状況ページを開いたが、試すための隔離された環境について書いた記述は無い。概要には Claude Code と同じ仕組みを使うと書かれているが、Cowork の側でそれをどう扱うかは書かれていない。 調査日 |
| Cline（クライン） | ― | ― 編集部まとめ出典()
公式ドキュメント（自動承認） 確認したもの: 公式ドキュメント（自動承認・控えと巻き戻し・初めての方向け）と、公式サイトの料金・企業向けページを開いたが、製品の側が用意する試用のための隔離環境についての記述は無い。自動承認の説明には、まず使い捨ての企画や隔離した環境で試すよう利用者側の準備を勧める記述があり、企業向けの機能一覧には自社の閉じたネットワーク内への配置が挙がっている。 調査日 |
| Codex（OpenAI） | 企業向けの記録の基盤に残る分は 30 日。会話は組織の設定に従い、削除した会話は原則 30 日以内に完全に消される予定に入る。 実行時の状態や作業の控えは会話とは別の扱いで、会話を消しても関連するものがすべて即座に消えるわけではないと明記されている。どの操作が記録に出るかは事象と発生した場所によるとされ、シェルの実行・ブラウザ操作・ファイル操作・承認のすべてが記録に出ると考えてはいけないと書かれている。 | 手元で動かすとき、コマンドは既定で隔離された環境の中で実行される。読み取りだけ・作業場所への書き込みまで・制限なし、の 3 段階があり、既定は作業場所への書き込みまで。 隔離は基本ソフトの仕組みで行われ、macOS は標準の機能、Windows は標準の機能または WSL2、Linux と WSL2 は追加の部品を入れて実現する。クラウドで動かす場合は、仕事ごとに切り離された仮想環境で動く。 |
| CrewAI（クルーAI） | 使ったモデル、担当ごとの経過時間、道具の使用と出力、消費量と概算費用、仕事ごとの状態（完了・実行中・失敗）が残る。 どれだけの期間残るかを示す記述は、開いた範囲では見つからなかった。書き出し先として OpenTelemetry と外部の監視サービスへの連携が用意されており、そちらに送れば保持は送り先の決まりに従う。 | ― |
| Cursor | ― 編集部まとめ出典()
公式ドキュメント コンプライアンスと監視 確認したもの: エンタープライズ向けの監査記録のページ、データ利用の説明ページ、セキュリティページ、料金ページを開いた。監査記録は Enterprise で利用でき、SIEM・Webhook・S3 へ転送して長期保管できると案内されているが、Cursor 側で何日保つのかを示す数字は無い。エージェントの応答や生成コードの中身は記録しないとは明記されている。 調査日 | ― 編集部まとめ出典()
料金ページ（プラン比較） 確認したもの: 料金ページの機能比較、公式ドキュメントのトップとエージェント概要、エンタープライズ向けのプライバシー・コンプライアンスの各ページを開いたが、本番と分けて設定を試すための検証環境の提供に関する記載は無い。Enterprise には自動実行・ブラウザ・ネットワークの制御という項目があるが、これは実行時の制限であって別環境の提供ではない。 調査日 |
| Devin | 日数の記載なし。取引が続く間は保持 ベンダー公表 保持期間を日数で示した記載は無く、取引関係が続くあいだ保持する、と説明されています。 やり取りの記録や利用状況のデータは必要な期間だけ保持し、期間は会社側が決めるとも書かれています。作業の経過そのものは、画面上で作業ごとの記録として後から追えます。 | 作業は利用者の端末ではなく、シェル・エディタ・ブラウザを備えたクラウド上の作業環境で行われ、そこで自分の変更を動かして確かめられます。外部ツールの接続設定を保存する前には、隔離された確認用の環境を立ち上げて接続を試す仕組みもあります。 本番と分けた検証用の契約や環境が別途売られているわけではなく、作業そのものが独立した環境で走る形です。 |
| GitHub Copilot | それより長く残したい場合は、外部の監視基盤へ流して保管するよう案内されています。 入力と提案そのものの扱いは別で、法人向けの既定では保持されず、個人向けでは 28 日間保持されると案内されています。利用状況のデータは 2 年間保存されます。 | ― 編集部まとめ出典()
公式ドキュメント 責任ある利用（エージェント） 確認したもの: プランと価格の比較表、公式ドキュメントの入門・責任ある利用・企業向けアカウント・監査記録の各ページを開いたが、本番と分けて設定を試すための検証環境の提供に関する記載は無い。代わりに書かれているのは、クラウドで動くエージェントが触れる範囲の制限（そのプルリクエストの枝だけ、他のリポジトリには入れない、専用の環境に入れた秘密情報以外は使えない）で、これは実行時の制限であって別環境の提供ではない。 調査日 |
| Hermes Agent（ヘルメス・エージェント） | 編集部がまだ確認していません | コンテナによる隔離が security の層の 1 つとして挙げられている ベンダー公表 |
| Kiro（AWS） | 管理者が有効にすると、利用者の入力と応答が記録され、保存先は自社の AWS 環境内の指定した置き場になります。提供側が何日保つという定めではなく、保持期間は自社側の設定で決まります。 無料枠の利用者については、規約違反の検知のために入力を最長 60 日間保存することがあると、サービス個別条項に書かれています。記録機能そのものに追加料金は無く、保存先の費用だけがかかります。 | ブラウザから使う形では、作業ごとに隔離された環境が立ち上がり、必要なリポジトリだけを複製して作業し、終わると片付けられます。中には画面のない Chrome と操作用の道具が入っていて、直した画面をその場で確かめられます。 外に出られる宛先は設定で絞れます。本番と分けた検証用の契約が別に売られているわけではなく、作業そのものが毎回この隔離環境で走る形です。 |
| Manus（マヌス） | ― 編集部まとめ出典()
公式ヘルプ 作業環境の不具合 確認したもの: ヘルプセンターの作業環境・不具合・データの退避と復元の各カテゴリと、稼働状況ページを開いたが、実行の記録を何日保つかを示す数字は無い。代わりに書かれているのは作業用の仮想環境の作り直しの方針で、無料の利用者は 7 日、有料の利用者は 21 日使わないと自動で作り直されるとされている（これは環境の寿命であって記録の保持期間ではない）。 調査日 | 作業はクラウド上の隔離された仮想環境で行われ、利用者はその中の画面を見たり、途中で自分で操作を代わったりできます。環境は作り直されることがあり、その際に中のファイルは失われますが、作業の進み具合と履歴は残ると説明されています。 本番と分けた検証用の契約が別に売られているわけではなく、作業そのものが毎回この隔離環境で走る形です。 |
| OpenClaw（オープンクロー） | 動作の記録は利用者の端末のファイルとして日付ごとに書き出され、会話の記録も端末上に残ります。どちらも提供元が消すのではなく、長く残す必要が無ければ利用者が自分で古いものを消すよう案内されています。 記録の中の秘密情報は伏せられ、伏せる対象は自分で足せます。診断のために共有するときは、記録そのものではなく秘密情報を伏せた状態表示を使うよう勧められています。 | 隔離した環境で実行する仕組みはありますが、既定では入っておらず、利用者が自分で有効にする形です。切ってある状態では、行き先を自動に任せた実行は常駐させている端末そのもので走ります。隔離環境を明示して指定した場合は、環境が用意されていなければ実行されずに落ちます。 危険度の高い道具（コマンド実行・ブラウザ操作・外部取得）は、信頼できる相手や明示した許可一覧に絞るよう勧められています。強い境界が要る場合は、OS の利用者や機器そのものを分けるよう求めています。 |
◎ 条件なしで当てはまる ○ 条件つき・一部 △ 限定・要申請・無いと明記 × 当てはまらないと明記 ？ 編集部がまだ確認していません ― 提供元が公開していない（編集部が調べた） — 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。
材料の調査日（最新）: 2026-09-05
読み方の例を 3 つ。Codex は既定で隔離して動かし権限は 3 段階、Kiro は作業ごとに隔離環境が立ち上がる、Antigravity と OpenClaw は仕組みはあるが既定では無効です。Claude Code は隔離実行があり、Windows をそのまま使う形には対応していないと書いています。欄が空の製品は、公開資料に隔離の記述が見つからなかったという意味で、「隔離できない」とは言っていません。
こう決める — 任せる前の手順
| 順 | 手順 | こう判定する |
|---|---|---|
| 1 | 動かす場所を決める | 手元のパソコン直下で動かすなら、そこで起きる最悪の結果を書き出す。書き出せないなら箱の中へ |
| 2 | 調査記録の「隔離実行」の欄を読む | 既定で無効の製品は、有効にする手順を導入の作業に含める |
| 3 | 渡す道具を読む手だけにする | 変える手が要る作業は、その作業だけ範囲を決めて渡す |
| 4 | 記録の残り方を確かめる | 手元に残るのか、提供元に残るのか、何日残るのか（表の「記録」欄） |
| 5 | 戻せない操作に人の確認を挟む | 削除・送信・購入は、隔離の外へ出る操作。副作用の話につながる |
隔離の外に出る操作をどう止めるかは AI エージェントの暴走を防ぐ、渡す権限の大きさは 過剰な権限と爆発半径 に置きました。