DockerがAIエージェントの「安全な実行環境」になる — コンテナをmicroVMで隔離するSandboxesと脆弱性ゼロのHardened Imagesが本番向けに

7月31日、Collabnixが「What's New in Docker in 2026: Sandboxes, Hardened Images, and the AI-Native Container Platform」と題した記事を公開した。2026年のDockerがAIエージェント時代に向けてセキュリティとランタイム基盤へと軸足を移した最新機能群について詳しく紹介されている。

Dockerはいつの間にか「コンテナの会社」から、AIエージェント開発のセキュリティ・ランタイム層へと変貌した。docs.docker.comでは「AIエージェントをサンドボックスで動かせるか？」「Docker Hardened Imagesとは何か？」といったAIエージェント時代の問いが前面に出ており、2026年の機能群はその回答として位置づけられている。

最注目機能：Docker Sandboxes

エンジニアが最初に評価すべきは Docker Sandboxes だ。AIコーディングエージェント（ClaudeやCursorなど）に、ホストマシンを渡すことなく実行環境を与える仕組みである。

仕組みはシンプルで、エージェントごとに使い捨てのmicroVMを起動し、プライベートなファイルシステム・独立したDockerデーモン・分離されたネットワークスタックを提供する。操作には新しいsbx CLIを使う。

# macOSへのインストール（Homebrewのカスタムtapを利用）
brew tap docker/tap
brew install docker/tap/sbx
sbx login

初回ログイン時にネットワークポリシー（Open / Balanced / Locked Down）を選択する。その後、プロジェクトディレクトリからエージェントをサンドボックス内で起動できる。

cd ~/my-project
sbx run --name my-sandbox claude

ネットワークルールの確認や許可の追加もsbx policyコマンドで行う。

sbx ls
sbx policy ls
sbx policy allow network registry.npmjs.org

GitHubトークンのような認証情報はシークレットとして保持できるため、エージェントがプルリクエストを開く際にセッションへ秘密情報を貼り付ける必要がない。

sbx secret set -g github -t "$(gh auth token)"

自律的なコーディングエージェントがホストマシンにアクセスし放題になる問題は、セキュリティ観点で業界全体の懸念事項になっている。Docker SandboxesはそれをmicroVMレベルで封じる設計だ。

標準イメージとの差が歴然：Docker Hardened Images（DHI）

DHIは、署名済みSBOM（ソフトウェア部品表）とSLSA Level 3のプロベナンス（出所証明）を備えた最小構成のdistrolessスタイルイメージだ。SLSA（Supply chain Levels for Software Artifacts）はサプライチェーン攻撃への耐性を段階的に定めたフレームワークで、Level 3はビルドパイプライン自体が改ざん耐性を持つ隔離された環境で実行されることを要件とする。つまり、イメージの「どこで・どうやって作られたか」が第三者検証可能な形で保証されている。通常のイメージと同じコマンドで利用できる。

docker login dhi.io
docker pull dhi.io/python:3.13
docker run --rm dhi.io/python:3.13 python -c "print('Hello from DHI')"

Docker Scoutで標準イメージと比較すると差は顕著だ。

docker scout compare dhi.io/python:3.13 \
  --to python:3.13 \
  --platform linux/amd64 \
  --ignore-unchanged

Dockerの公式例では、ハードニング済みPythonイメージのサイズが412MBから35MBへ縮小し、不要なパッケージを500以上削除した結果、既知のCVEがゼロになったと示されている。

そのほかの注目機能

Gordon：Docker DesktopのAIアシスタント、GA公開

Docker Desktopに組み込まれたAIアシスタント「Gordon」が正式リリース（GA）になった。ターミナルから直接呼び出せる。

docker ai "why is my container exiting immediately?"

docker buildやdocker compose upが失敗した際には、コンテキストに応じたヒントを自動的に表示する機能も備わった。

MCP GatewayとMCPツールキット

MCP（Model Context Protocol） とは、AIクライアントが外部ツールやサービスを呼び出すための標準プロトコルだ。Docker MCP Gatewayは、ClaudeやCursorなど複数のAIクライアント向けのMCPサーバーを、隔離されたコンテナとして動かし、単一の制御点を通じてリクエストをルーティングする。300以上のカタログサーバーが利用可能だ。

docker mcp gateway run --profile web-dev

Docker MCP Toolkitでは、MCPサーバーのカタログ管理や権限制御をGUI・CLIの両面から操作できる。

Docker Model Runner：ローカルLLMをDockerで

Docker Model Runnerは、OpenAIおよびOllamaと互換性のあるAPIでLLMをローカル実行・サービング可能にする機能だ。カスタムのGGUFファイルをOCIアーティファクトとしてパッケージ化してプッシュする用途にも対応する。

docker model run ai/smollm2
docker model package --gguf "$(pwd)/model.gguf" --push myorg/mistral-7b-v0.1:Q4_K_M

docker pass：CLIからのシークレット管理

シェル履歴や.envファイルに残さずにシークレットを管理し、ホストコマンドへ注入できる。

docker pass set OPENAI_API_KEY --force
docker pass run -- printenv OPENAI_API_KEY

まとめ

Docker Sandboxes・DHI・Gordon・MCP Toolkitを通じて、Dockerは自律型コーディングエージェントを安全に採用するためのガバナンスと隔離の層として自社を位置づけている。コンテナ戦略を見直す上では、まずこれらの機能から検証するのが実務上の優先順位になるだろう。

セキュリティパッチは月次ペースで継続的に提供されているため、AIエージェントを活用した開発環境を運用しているチームはdocker scout cvesでの定期チェックを習慣にしておきたい。

詳細はWhat's New in Docker in 2026: Sandboxes, Hardened Images, and the AI-Native Container Platformを参照していただきたい。