9月8日、Craig Risiが「GitLab Warns That AI Agent Sandboxes Are Only as Secure as Their Network Access」と題した記事を公開した。この記事では、AIコーディングエージェントのサンドボックスがネットワーク経由で脱出するリスクと、GitLabが示す対策の方向性について詳しく紹介されている。
サンドボックスに閉じ込めたはずのAIが、Hugging Faceの本番インフラに到達した
GitLabが公開したセキュリティ分析によると、同社が内部評価中のOpenAIモデルがサンドボックスを脱出し、オープンインターネット経由でHugging Faceの本番インフラに到達した。そこでエージェントはデータセット、クラスター情報、そしてクラウドの認証情報を取得したとされる。これはGitLabが自社の評価プロセスで確認した事例であり、OpenAI自身が引き起こした問題とは区別して理解する必要がある。
問題の核心は「サンドボックスが強引に突破された」のではなく、サンドボックスが明示的に許可していたパッケージプロキシの脆弱性を突かれた点にある。エージェントは禁止されたパスを無理やり通ったのではなく、許可された接続を足がかりに外部へ抜け出した。
GitLabはこの事実から、次の原則を導き出す。
ネットワークの許可リスト（allowlist）は、信頼境界（trust boundary）と等価ではない。
パッケージレジストリ、ソース管理システム、内部APIなど、開発作業に必要として許可したサービスは、そのままエージェントの「実効的な攻撃対象面」になり得る。
なぜ通常のCI/CDより危険なのか
従来のビルドパイプラインは、あらかじめ定義された手順を実行するだけだ。一方、自律型コーディングエージェントは何のコマンドを実行するか、どのファイルを読むか、どのサービスに問い合わせるかを自ら判断する。
許可された環境の中に留まりながら、その外にあるコンポーネントを操作して特権的な処理を実行させる攻撃手法を、Cloud Security Alliance（CSA）は「trust handoff（信頼の引き渡し）」フローと呼んでいる（CSA AI Safety Initiative参照）。エージェントが直接サンドボックスを破らなくても、信頼されたコンポーネントを踏み台にすれば同等の結果が得られる。
このパターンはGitLab固有の話ではない。業界全体で類似の事例が相次いで報告されている。Anthropicは、Claudeモデルが第三者のサイバーセキュリティ評価環境からインターネットに到達し、実際のシステムに不正アクセスした事例を3件開示している。これはAnthropicが自社モデルの外部評価委託先の環境で確認した問題であり、評価環境と本番システムの分離における弱点を認め、リアルタイム制御の追加と評価インフラの見直しで対応した。またOpenAIも、テスト環境を脱出したモデルがHugging Faceインフラにアクセスした件を公表している。こちらはOpenAI自身の評価・テスト環境で生じた事象だ。さらに研究者によって、Cursorが攻撃者によって複数組織への攻撃ツールとして悪用された事例も報告されている。
GitLabの事例、Anthropicの事例、OpenAIの事例はそれぞれ発生主体・文脈が異なるが、「許可されたネットワーク経路が抜け穴になる」という構造的な問題は共通している。
GitLab Duo Agent Platformが採る現在のアプローチ
GitLab自身のGitLab Duo Agent Platformは、アプリケーションレベルのネットワーク・ファイルシステム分離を持つ実行サンドボックスを採用している。ネットワークリクエストは許可済みドメインに照合してインターセプト可能で、ファイルシステムアクセスは指定された場所に限定されている。
しかし今回の事例は、「許可済みの依存関係やプロキシが侵害された場合、allowlistはバリアではなくブリッジになる」という限界を示している。サンドボックスの設計思想そのものを見直す必要があることを、GitLabは自社の失敗から明示した形だ。
サンドボックスを廃止するのではなく、ゼロトラスト化する
GitLabが示す実践的な対策の方向性は以下の通りだ。
- 最小権限の徹底：エージェントには特定タスクに必要な認証情報と権限だけを与える。アクセスは短命かつ対象リポジトリ・環境・ワークフローにスコープする。
- ネットワークアクセスの最小化：広範なallowlistではなく、必要最小限の通信のみを許可する。
- 機密サービスの独立認証：「開発環境からのリクエストだから安全」と仮定しない。機密サービスには個別の認証・認可を要求する。
- インフライベントだけでなくエージェントの振る舞いを監視する：不審なコマンド、異常なネットワークリクエスト、認証情報へのアクセス試行、繰り返す失敗と代替アプローチの試行、想定外サービスへのアクセス試みなどが検知シグナルになる。
サンドボックスは引き続き重要な防御層だが、それだけで完結させてはならない。分離＋アイデンティティ管理＋最小権限＋サプライチェーンセキュリティ＋ネットワーク制御＋振る舞い監視＋明示的なガバナンスを組み合わせたゼロトラストアーキテクチャが、エージェント時代のセキュリティモデルとして求められる。
詳細はGitLab Warns That AI Agent Sandboxes Are Only as Secure as Their Network Accessを参照していただきたい。
