詳細を読む
Vercelは8月10日、AIエージェントの実行環境について「ホストから分離するだけではサンドボックスの半分にすぎない」とする技術記事を公開しました。microVMによる分離に加えて外部通信を制御するエグレスファイアウォールを全Sandboxに標準搭載し、無料のHobbyプランでも使えるようにしたと述べています。
同社が挙げるのは、リポジトリを読んで生成コードを実行するエージェントの例です。課題管理システムやログ、依存パッケージに仕込まれたプロンプトインジェクションが実行を乗っ取れば、生成されたプログラムはmicroVMを脱出せずとも、読み取れたデータをそのまま外部サーバーへ送信できます。内部ネットワークの探索や認証済みAPIの呼び出しも同じ経路で可能になり、攻撃者にとってVM境界の突破は必ずしも必要ではありません。
近年のセキュリティ研究が示すのは、コンテナやVMの境界が設計どおり機能していても封じ込めは破れるという事実です。遮断したはずの環境に残ったDNSリゾルバ、空のまま素通りする許可リスト、ポリシーエンジンとプロキシでホスト名の解釈がずれる実装、中継役に変えられた信頼済みのパッケージ配信基盤。いずれか一つあれば、外部との通信路になり得ます。
では完全に遮断すればよいのかというと、リポジトリの取得やモデルの呼び出しができなくなり、実用性を失います。同社が示す解は、必要な接続だけを許可する粒度の細かいポリシーです。IPアドレスが変動する現代のサービスにはドメイン規則、固定インフラや私設アドレス空間にはCIDR規則を使い分け、一致しない通信は既定で拒否します。
接続の許可は時間軸でも変わります。セットアップ中だけレジストリへの接続を認め、未検証のコードを動かす前に権限を絞り、結果の送信後は外向き通信をすべて止める、といった切り替えをワークロードの再起動なしに行えます。ファイアウォールはmicroVMの外側のホスト上で動くため、サンドボックス内のコードからは無効化できません。
認証情報の扱いにも設計思想が表れます。環境変数に置いたAPIキーはサンドボックス内の全プロセスが読める持ち出し可能な資格情報になるため、同社はホスト側の境界で認証ヘッダを注入する方式を採り、鍵をmicroVMに入れません。さらにリクエストを利用者自身のプロキシへ転送でき、機密項目の伏せ字化やサプライチェーン検査、監査ログの記録といった独自ポリシーを、コードがroot権限を持つ環境の外側で適用できます。