7月28日、Paul Nashawaty氏が「Kata Containers 4.0: Open Source AI Agent Sandboxing Grows Up」と題した記事を公開した。コンテナのセキュリティ境界が「プロセス」から「VM」へ——この構造的転換をKata Containers 4.0は本番環境レベルで実現したとNashawaty氏は論じており、Rustベースのランタイムのデフォルト化とAIエージェント向けサンドボックス強化の詳細が解説されている。
GoランタイムからRustへ——最大の変更点
Kata Containers 4.0の最大のポイントは、Rustベースのランタイム（runtime-rs）がデフォルト実装に昇格し、従来のGoランタイムが非推奨（deprecated）になったことだ。
Goはシステムプログラミング言語として十分な性能を持つが、ガベージコレクター（GC）を持つという構造上の制約がある。GCの存在は予測不能なレイテンシスパイクを引き起こす。これはAIエージェントのようにサンドボックスを高速にスピンアップ・ティアダウンする用途では致命的になりうる。Rustはコンパイラレベルでメモリ安全性を保証しつつGCを持たない設計のため、より高速かつ予測可能な動作を実現できる。
移行スケジュールについては、Goランタイムのバグ修正とセキュリティパッチは当面継続される。コミュニティは「Kata Containers 5.0より前にGoランタイムを削除することはない」と明言しており、既存の本番環境を運用するチームには定義された移行猶予期間が確保されている。
AIエージェントと「プロセス境界」問題
従来のLinuxコンテナモデルは、コンテナがホストのカーネルを共有する設計だ。一般的なマイクロサービスではこれで十分だが、AIエージェントは事情が異なる。エージェントはメモリを蓄積し、外部ツールを呼び出し、設計時には想定されていなかった入力に応じて実行パスを分岐させる。この非決定論的な挙動が、カーネル共有モデルを危険にする。
Kata Containersはpod-in-VMモデルを採用している。各ワークロードが軽量なVMを個別に持つ構成で、侵害されたエージェントがとどまる境界が「プロセス」ではなく「ハイパーバイザー」になる。隣接メモリへのアクセスやクラスター内の横断移動（ラテラルムーブメント）を防ぐ設計だ。
Nashawaty氏が引用するECI Researchの2026年アプリケーション開発サーベイ（※本記事中のデータはすべて元記事が参照するECI Researchの調査に基づく）によれば、45.3%の回答者がAI支援開発により「リスクが中程度に増加した」と回答し、さらに17.2%が「著しく増加した」と回答している。合わせて約3分の2が、AIツールによるリスク上昇を認めながらも定まったアーキテクチャ上の答えを持っていない状況だ。Kata 4.0はKubernetes上でエージェントをスケール実行するチームに対して、その答えを提示しようとしている。
Ant Group、NVIDIA、Microsoft、Edgeless Systemsからの支持も表明されており、これらは分離保証が必須要件だった実際の本番環境での採用を反映している。
コンフィデンシャルコンピューティングとの統合
Kata ContainersはConfidential Containersの基盤としても機能している。Confidential Containersは使用中のデータを暗号化（encrypt data in use）する仕組みで、一般的なエージェント分離を超えた用途を開く。
技術的には、Intel SGXやIntel TDX、AMD SEV-SNPといったTEE（Trusted Execution Environment）を活用することで、ハイパーバイザーやインフラオペレーター自身でさえメモリ上のデータに平文でアクセスできない実行環境を実現している。通常のVM分離が「隣接ワークロードからの隔離」を提供するのに対し、Confidential Containersはそれをさらに推し進め「インフラ管理者からの隔離」まで範囲を広げる点が本質的な差異だ。
医療、金融サービス、データ主権要件を持つ組織は、Confidential Containersを使うことで、インフラオペレーター側に平文データを露出させずにエージェントワークロードを実行できる。すでにEdgeless SystemsのPrivatemode AIやNVIDIAのConfidential Containers Reference Architectureが具体的な製品化の動きとして出てきている。
同調査では、71.5%の回答者が「業界固有のコンプライアンス（金融・医療）」をリリースエンジニアリングに影響する規制上のプレッシャーとして挙げている。この層にとって、カスタムエンジニアリングなしに要件を満たせるランタイムは実用的な選択肢になりうる。
ソフトウェアサプライチェーンの強化
Kata 4.0は依存関係の更新とCI（継続的インテグレーション）チェックの厳格化を通じてソフトウェアサプライチェーンも強化している。ECI Researchの2026年DevSecOpsサーベイでは、29.1%の回答者が「AIが生成したパッケージのリスク」をオープンソースセキュリティ上の最大の懸念として挙げており、コンテナランタイムのようなインフラ基盤コンポーネントにおいてもサプライチェーンの完全性は重要な評価軸になっている。
詳細はKata Containers 4.0: Open Source AI Agent Sandboxing Grows Upを参照していただきたい。
