スタンフォード発「JAI」が提案するAIエージェント時代のサンドボックス戦略

はじめに

AIエージェントがコードを書き、コマンドを実行し、ファイルを操作する時代が本格化しています。しかし、その便利さの裏には「エージェントが意図せずファイルを破壊する」というリスクが潜んでいます。スタンフォード大学のSecure Computer Systems（SCS）研究グループが公開した軽量サンドボックスツール「JAI」は、この問題に対してシンプルかつ実用的なアプローチを提示しています。Hacker Newsで529ポイントを獲得し、大きな注目を集めました。この記事では、JAIの仕組みと、AIエージェント時代のセキュリティ設計について深掘りします。

AIエージェントによるファイル破壊は「起きている」

JAIの公式サイトでは、AIエージェントによる実際のデータ損失事例が紹介されています。Claude Codeがrm -rfコマンドでホームディレクトリ全体を消去したケース、Cursorがファイルを意図せず削除したケース、家族写真が失われたケースなど、「失ったファイル、空になったワーキングツリー、消し飛んだホームディレクトリ」という報告が実際に上がっています。

これらの事故は、AIが悪意を持って行動しているわけではありません。AIが生成するコマンドは「もっともらしいが危険」な場合があり、人間のレビューを待たずに実行される場面で被害が発生します。OWASPのASI Top 10（2026年版）でも、サンドボックスがエージェントAIのリスク軽減策として第2位に挙げられており、業界全体として対策の重要性が認識されつつあります。

問題は、従来のサンドボックスソリューション（Docker、VM）は高機能だが設定が煩雑で、日常的なAIエージェント利用には重すぎるということです。ここにJAIの存在意義があります。

JAIの設計思想 — 「ファイルシステムではなくエージェントを縛る」

JAIのキャッチフレーズ「Go hard on agents, not on your filesystem」は、その設計哲学を端的に表しています。従来のアプローチがファイルシステムの権限設定やアクセス制御リストの複雑化に向かいがちなのに対し、JAIはエージェント側を隔離するという発想に立ちます。

技術的な仕組み

JAIはLinuxカーネルの名前空間（namespace）機能を活用した軽量サンドボックスです。主な隔離メカニズムは以下の通りです。

Copy-on-Write（CoW）オーバーレイ: ホームディレクトリへの書き込みは$HOME/.jai/<name>.changesに記録され、元のファイルは一切変更されません。エージェントから見ると普通にファイルが存在しますが、変更は別レイヤーに分離されます
マウント名前空間の分離: ワーキングディレクトリ以外のファイルシステムは読み取り専用に設定され、/tmpと/var/tmpはプライベート化されます
PID名前空間の分離: CLONE_NEWPIDフラグにより、ジェイル内のプロセスからホスト側のプロセスへのsignal送信やptrace攻撃を防止します

3つの動作モード

JAIは用途に応じて3つのモードを提供します。

モード	ホームディレクトリ	実行ユーザー	機密性	用途
Casual	CoWオーバーレイ	自分のUID	弱い	日常的なAIツール利用
Strict	空（新規）	専用jaiユーザー	強い	信頼度の低いエージェント
Bare	空（新規）	自分のUID	中程度	NFS環境向けフォールバック

使い方は極めてシンプルで、コマンドの先頭にjaiを付けるだけです。

jai claude-code   # Claude Codeをサンドボックス内で実行
jai codex         # Codexをサンドボックス内で実行

DockerfileもイメージビルドもYAML設定も不要。この「セットアップゼロ」が、JAIの最大の特徴です。

既存ツールとの比較 — JAIが狙うポジション

JAIは万能なセキュリティツールではありません。公式ドキュメントでも「硬化されたコンテナランタイムでもVMでもない」と明言されています。では、どういう位置づけなのでしょうか。

Dockerとの比較では、Dockerがイメージベースの再現可能な環境を提供するのに対し、JAIはホストネイティブで即座に使えるアドホックなサンドボックスです。CIやチーム開発にはDockerが適しますが、個人のローカル環境でAIエージェントを「ちょっと安全に動かしたい」場面ではJAIが圧倒的に手軽です。

Bubblewrap（Flatpakが内部で使うサンドボックスツール）とは同じ名前空間ベースの技術を使いますが、Bubblewrapは15以上のフラグを手動で指定する柔軟性重視の設計です。JAIはオピニオネイテッドなデフォルト設定で、設定不要を実現しています。

VMはカーネルレベルで完全に分離するため、セキュリティは最も強固です。しかし、ゲストOSのプロビジョニング、メモリ割り当て、起動時間というオーバーヘッドがあり、「AIに1つタスクを頼む」程度の用途には重すぎます。

つまりJAIは、「完全な無防備」と「本格的なコンテナ/VM」の間にある実用的な中間地点を狙っています。

エンジニアへの影響 — エージェント時代のセキュリティ設計

JAIの登場は、単なるツールのリリース以上の意味を持っています。AIエージェントの普及に伴い、開発環境のセキュリティモデルそのものが変化しつつあります。

すでに各ツールが対応を進めている状況です。 Claude Codeはネイティブサンドボックス機能を搭載し、ファイルシステム分離とネットワーク分離の2層で保護を提供しています。macOS向けにはAgent Safehouseというカーネルレベルの隔離ツールも登場しています。DevContainerでAIエージェントを動かすアプローチも広まっています。

JAIが提起する本質的な問いは、「エージェントにどこまでのアクセスを許可するか」をどうデフォルト設計するかということです。現在の多くのAIツールは、許可を都度ユーザーに求めるモデルですが、JAIは「まずデフォルトで隔離し、必要な範囲だけ開放する」という逆のアプローチを取ります。

エンジニアとして押さえておきたいポイントは以下の通りです。

Linux限定（カーネル6.13以上）: macOSやWindowsでは動作しません。macOSユーザーはAgent SafehouseやDevContainerを検討しましょう
ネットワーク制限なし: JAIはファイルシステム保護に特化しており、ネットワーク経由の情報漏洩は防げません
本番環境向けではない: あくまでローカル開発でのカジュアルな保護が目的です

まとめ

スタンフォード大学が公開したJAIは、AIエージェント向けの軽量Linuxサンドボックスで、jaiコマンド一つで即座にファイルシステムを保護できる
Copy-on-Writeオーバーレイとマウント名前空間により、エージェントの変更を安全に隔離する
DockerやVMほどの強固な隔離は提供しないが、「セットアップゼロ」という手軽さでエージェント利用時の事故リスクを大幅に低減する
AIエージェント時代のセキュリティは「デフォルトで隔離、必要な範囲だけ開放」という設計思想が主流になりつつある

AIエージェントの能力が向上するほど、その「行動範囲」をどう制御するかが重要になります。JAIのようなツールが注目を集めている背景には、エージェントとの協働が日常化する中で、安全な開発環境のデフォルトを見直す時期が来ているという認識があるのでしょう。