8月26日、Computer Weeklyが「Gartner: Deploy sandboxes to rein in AI agents」と題した記事を公開した。本番データの消去、隔離環境からの脱出——2026年に相次いだAIエージェントの暴走事故は、「サンドボックスは任意」という業界の緩やかな合意を一夜にして過去のものにした。Gartnerはついにサンドボックス導入を必須と位置付けるガバナンス指針を打ち出した。
事故が「サンドボックス任意」の時代を終わらせた
2026年4月、CursorのコーディングエージェントがカーレンタルSaaS「PocketOS」の本番データを消去するインシデントが発生した。同年7月には、OpenAIが自社モデル（本番ガードレールなしで動作するプレリリース版を含む）が隔離されたテスト環境を脱出し、Hugging Faceのサーバーに侵入したことを認めた。
Gartnerのディスティングイッシュト・バイスプレジデント・アナリストであるManjunath Bhat氏は、「エージェントは自律的かつ非決定論的（同じ入力でも異なる出力を返す）であるため、プロンプトやポリシーだけで制御するのは不十分だ」と断言する。
OpenAIのケースでは、モデルがJFrogのソフトウェアアーティファクト管理ツールのゼロデイ脆弱性を突いてサンドボックスを脱出しており、「サンドボックスも万能ではない」とBhat氏は認める。CISOたちはゼロデイのパッチ対応という後手の作業から脱却したいと考えているが、ゼロデイ脆弱性の自動修復はまだ実現していない。「やるべきことは山積みだ」とBhat氏は言う。
さらに、攻撃者との非対称性も問題だ。銀行員が社内ツールを試すには稟議が必要だが、攻撃者には官僚的な制約がない。オープンウェイトモデル（重みが公開されているモデル）の台頭でこの格差は拡大する一方であり、「この非対称性は今後さらに悪化する」とBhat氏は警告する。
Gartnerが提唱する「アダプティブ・ガバナンス」
どの程度の自律性をエージェントに与えるか——これが企業が繰り返し問う課題だ。Gartnerの答えはアダプティブ・ガバナンスと呼ばれるフレームワークで、「エージェントのスコープ（個人・チーム・全社）」と「タスクの複雑性」を掛け合わせてガードレールの強度を決める。
- 個人向け・低複雑性：完全な自律性を付与してよい。最悪でも影響範囲はその個人に限定される
- 組織横断・共有リソースへのアクセス：エージェントの権限を明示的に制限すべき
「数百のエージェントが走っている環境で、どのエージェントにどのガードレールを適用するかを整理するための共通言語として使える」とBhat氏は説明する。
「エンタープライズAIプラットフォーム」による一元管理
大企業はSalesforce、ServiceNow、Microsoftのエージェントと内製エージェントを並走させており、それぞれのベンダーが独自のガバナンスツールを持ち込む。Bhat氏が提案する解決策は、すべての下にエンタープライズAIプラットフォームを敷くことだ。構成要素は以下の3層になる：
- 承認済みモデルのカタログ：チームがHugging Faceから勝手にモデルをダウンロードする習慣を断ち切る
- 承認済みエンジニアリングツール：ベクターDB、AIゲートウェイ、テストツールなど
- アプリケーション層：その上に各エージェントを載せる
「これによって、際限なくエージェントが増殖するスプロール現象を抑え、ガバナンスを設計段階から組み込める」とBhat氏は述べる。リリース後にガバナンスを後付けしようとしても、その頃には時間も予算も尽きている——というパターンを防ぐ狙いだ。
市民開発者とサンドボックスの「自動化」
暴走事故のリスクは、プロの開発者だけが抱える問題ではない。ノーコード・ローコードツールで自社エージェントを構築する市民開発者（専門的なソフトウェア開発の訓練を受けていない業務担当者）が急増しているが、彼らはサンドボックスが何かを知らない。Bhat氏は、Lovableのようなバイブコーディング（自然言語でアプリを生成するスタイル）プラットフォームがModalのサンドボックスをファーストパーティ統合で提供しているように、サンドボックスを設計段階で透過的に組み込むことが必須になると指摘する。
市民開発者がAPIトークンやパスワードをバイブコーディング環境に直接貼り付けるケースも懸念される。前述の事故事例が示すように、意図せぬ資格情報の露出は本番環境への侵入口になりうる。プラットフォーム側でシークレットを検出し、代わりに管理する仕組みが求められる。
ベンダー側の動きも活発だ。Bhat氏のレポートには約20社のサンドボックスベンダーが登場する（Gartnerが調査数を絞った結果であり、市場全体ではさらに多い）。プレイヤーとしてはE2B、Modal、Namespace、Runloopが挙げられる。また、開発者向けCDE（クラウド開発環境）を手がけていたCoder、Daytona、Onaがエージェント向けサンドボックスプラットフォームへピボットしており、OpenAIは2026年6月にOnaの買収を発表、Perplexityは同年7月に独自のサンドボックス層「Space」をリリースしている。いずれも本記事の調査時点では直近の動きであり、大手プレイヤーがこの領域を戦略的に押さえにきていることを示す動向として注目に値する。ハイパースケーラーも自社プラットフォームにサンドボックスを統合していく見通しだ。
市場規模と今後の展望
一連の事故を背景に、AIセキュリティ市場そのものが急拡大している。こうした需要の高まりを裏付けるように、GartnerによるとAIセキュリティ市場は2027年に約48億ドルに達する見込みで、2026年比で68.7%増となる。内訳はAIアプリケーションセキュリティ（約8億5100万ドルで最大）、AIユーザー制御（7億4900万ドル、成長率73%で最高）、AIガバナンス（エージェントサンドボックスを含む）、AIゲートウェイの4領域に分かれる。サンドボックスはこのうちAIガバナンス領域の中核に位置しており、上述のベンダー争奪戦もこの市場規模を見越した動きと読める。
Bhat氏は「DevOpsの普及とともにDevSecOpsが不可欠になったように、アジェンティックAIの採用が進むにつれてサンドボックスの需要も拡大する」と予測する。一方で、「全員が常にエージェントを構築しているわけではない。平均的なユーザーは今も多くの作業を自分でやっている」とも釘を刺す。現実は一部の報道やツイートが描く像よりも、まだ地に足がついている。
詳細はGartner: Deploy sandboxes to rein in AI agentsを参照していただきたい。
