マルチエージェントAI エージェントを安全に動かす｜隔離と鍵の守り方
この記事の要点
- AI エージェントは、読んだ内容にまぎれた指示（プロンプトインジェクション）や読み違いで、意図しない操作をすることがある
- 守り方の基本は3つ。大事な物を壁の外に置く・必要な分だけ許す・何重にも守る
- 鍵（APIキーなど）は AI に渡さず、外の中継役が付け足す。AI は鍵を一度も見ない
AI エージェントは、ファイルを読み、コマンドを動かし、外のサービスとやりとりします。決まった手順だけをなぞる普通のプログラムと違い、読んだ内容によって次の行動が変わる のが強みであり、同時に気をつけるべき点です。
この記事では、公式ドキュメント「Securely deploying AI agents」（2026年11月10日確認）にもとづいて、Claude Agent SDK や Claude Code を本番で動かす時の守り方を整理します。どこまで固めるかは使い方しだいで、自分のパソコンで試す人と、お客さまのデータを扱う会社では、必要な守りが違います。
まず想定する危険
公式が挙げる危険は2つです。
- プロンプトインジェクション：読み込んだファイルやウェブページに、AI への指示がまぎれ込んでいる
- AI の読み違い：指示の意味を取り違えて、意図しない操作をする
Claude のモデルはこうした指示に乗らないよう作られていますが、それでも 何重にも守っておくのがよい というのが公式の立場です。たとえば、悪意のあるファイルが「お客さまのデータを外へ送れ」と指示しても、外への通信が絞られていれば、送信そのものが止まります。
最初から入っている守り
Claude Code には、はじめから次の守りがあります。
| 守り | 内容 |
|---|---|
| 権限の仕組み | 道具を使う前に、実行・停止・確認のどれにするかを決める |
| 重要な場所の削除 | 作業フォルダなど重要な場所を消すコマンドは、許可ルールがあっても確認が要る（既定のモード） |
| 検索結果の要約 | 検索結果はそのまま渡さず要約するので、ウェブ経由の指示が入りにくい |
| サンドボックス | コマンドの読み書きと通信の範囲を絞って動かす |
権限の決まり方は Agent SDK の権限設定 で、サンドボックスは Claude Code のサンドボックス で解説しています。
守り方の3つの原則
もっと固めたい時は、次の3つの原則で考えます。
- 大事な物を壁の外に置く：鍵のような大事な物は、AI が動く場所の外に置く。中で何か起きても外は守られる
- 必要な分だけ許す：ファイルは要るフォルダだけ、できれば読み取り専用。通信は決まった行き先だけ
- 何重にも守る：隔離・通信の制限・ファイルの制限・中継での確認を組み合わせる
隔離の方法を比べる
AI を閉じ込める方法は4つあり、守りの強さ・速さ・手間のつり合い で選びます。
| 方法 | 守りの強さ | 遅くなる度合い | 手間 |
|---|---|---|---|
| サンドボックスの仕組み | よい（安全な初期設定） | ごくわずか | 少ない |
| コンテナ（Docker） | 設定しだい | 少し | ふつう |
| gVisor | とても強い（正しく設定すれば） | 中〜大 | ふつう |
| 仮想マシン | とても強い（正しく設定すれば） | 大 | ふつう〜多い |
1人で使う場合や、自動テストの流れ（CI）なら、サンドボックスの仕組みだけでも守りは大きく上がる と公式は説明しています。ただし、パソコンの中心部分（カーネル）は共有しているので、そこまで切り離したい時は gVisor や仮想マシンを選びます。
コンテナを使う時は、できることを先に外しておく のが基本です。特別な権限を全部外す、権限を後から増やさせない、中身を書き換えられないようにする、外への通信を切る、メモリと動かせる数に上限を付ける、管理者ではない利用者で動かす、などです。鍵や設定が入っているフォルダを、コンテナの中に見せないこと も公式は強く注意しています。
鍵は AI に見せない：中継役の形
AI が外のサービスを使うには、鍵が要ります。公式が勧めるのは、AI の外に中継役を置き、そこで鍵を付け足す形 です。
- AI は、鍵を付けずに依頼を送る
- 外の中継役が受け取り、行き先が許可リストにあるか確かめる
- 中継役が鍵を付け足して、本当の行き先へ送る
- やりとりはすべて中継役に記録される
この形なら、AI は鍵を一度も見ません。 たとえ AI がだまされても、鍵そのものを持ち出すことはできません。クラウドで動かす場合も、外への通信を中継役だけに絞り、AI に与える権限を最小にする、という同じ考え方です。動かす場所の選び方は Agent SDK を動かす場所 で解説しています。
まとめ
- 危険は まぎれ込んだ指示 と 読み違い。モデルの強さに頼り切らず何重にも守る
- 原則は 壁の外に置く・必要な分だけ・何重にも
- 鍵は中継役が付け足す。AI に鍵を渡さない
出典
この記事はAIを使って下書きし、著者が事実確認・加筆しています。ツールの機能や料金は変わることがあるため、最新の情報は各社の公式ページでご確認ください。
