AI エージェント向けサンドボックス：1 秒で起動する microVM で信頼できないコードを実行

コードを書くエージェントは、遅かれ早かれそれを実行しなければなりません。それこそがこの種のエージェントの存在理由であり、同時に落ち着かない部分でもあります。モデルはたった今、自分では一度も動かしたことのないスクリプトを出力しました。誰も確認していないパッケージを入れ、誰も一覧にしていないファイルに触れます。それを自分の SSH 鍵や本番の .env の隣で動かすのは、1日に何度も繰り返す賭けです。

サンドボックスはその賭けを安くします。コードは数秒から数分のあいだ専用の Linux マシンを手に入れ、その後マシンは消えます。

エージェントが手にするもの

各サンドボックスは Firecracker microVM です。独自のカーネル、独自のファイルシステム、独自のネットワーク名前空間を持ちます。あなたのカーネルを共有するコンテナでも、サーバー上のフォルダでもありません。起動は約1秒。エージェントが1日1台ではなくタスクごとに1台立ち上げるなら、これは大きな違いです。

中には pip 付きの Python 3.12、npm 付きの Node.js 22、bash、git、curl があります。外向きのインターネットは使えるので、エージェントは pip install pandas もリポジトリの clone もできます。内向きは不可：開いたポートも SSH もありません。コマンド、ファイル、出力はすべて当社の API を通り、それが唯一の入口です。

接続方法は3つ：

• MCP —— エージェントが Claude、Cursor、Cline など MCP 対応クライアントで動いているなら、VPS のツールの隣にサンドボックスのツールが現れます。あなたの側でコードは不要です。
• Python または TypeScript の SDK —— pip install eqvps または npm i @eqvps/sdk のあと、作成・実行・削除。
• 素の REST —— サンドボックスのドキュメント と OpenAPI 仕様に記載されています。

Python での最小ループはこうなります：

from eqvps import Sandbox

with Sandbox.create(tariff="small") as sb:
    sb.upload("/root/task.py", agent_generated_code)
    result = sb.exec("python3 /root/task.py", timeout=55)
    print(result.exit_code, result.stdout[-2000:])
# the sandbox is deleted here, also if anything above raised

ゼロ以外の終了コードは例外ではなく、通常の結果として返ります。エージェントに traceback を読ませて再挑戦させたいときに、まさに欲しい挙動です。

危険なケースと、その行方

悪意ある、あるいは単に壊れたパッケージ。 あなたのものが何もない VM の中で動きます。サンドボックスを削除すれば消えます。

シークレット。 メインの API キーを、エージェントが書くコードに入れないでください。タスクが本当にキーを必要とするなら、サンドボックスの環境変数として渡します。値は暗号化して保存され、ログには一切残らず、API が返すのは変数名だけです。

無限ループ。 バックグラウンドタスクとして起動しない限り、各コマンドは55秒で止まります。アイドル状態のエフェメラルなサンドボックスは、アイドルタイムアウト（既定5分）後に自動で削除されます。1日または1か月の支出上限に達すると、その日はもう新しいサンドボックスを作れません。

データの持ち出し。 ここははっきり言っておきます。外向きのインターネットは開いています。それがないと pip install が動かないからです。サンドボックスが守るのはあなたのマシンであって、コードがサンドボックス内で読めるものをインターネットに送ることまでは防げません。ルールは単純です。失っても構わないものだけをサンドボックスに入れること。

プランの選び方

課金は秒単位で最低60秒、当社の VPS と同じプリペイド残高から引かれます。典型的なエージェントのタスク——作成、パッケージを2つインストール、実行、削除——は small で1分未満に収まるので、最低料金の60秒分、約 $0.0006 になります。正直なところ、1日に数百回コードを実行するエージェントにとって、サンドボックスの請求額は予算の中で一番小さな項目です。LLM のトークンのほうがはるかに高くつきます。

サンドボックスが向かない場面

エージェントが何かを提供する必要があるなら——Web アプリ、webhook の受信、メッセージを待ち受けるボット——サンドボックスは使えません。外からは誰も到達できないからです。何か月も動き続けるべきサービスも同じです。それは VPS の仕事です。AIエージェント向け VPS を参照してください。よくある分担は、エージェントが小さな VPS に住み、初めて見るコードの断片ごとにサンドボックスを作るという形です。

もう1つの制限は、長時間続く重い計算です。CPU を90%超で15分以上使い続けるサンドボックスは不正利用と見なされるので、長い計算処理は月額で借りるサーバーに置くべきです。

はじめ方

アカウントを作り、トークンを取得して、最初のサンドボックスを起動しましょう。接続ガイド が各ステップを案内し、新規アカウントには試用として $1 分のサンドボックス時間が付きます。あとはエージェントを サンドボックスのページ か MCP のツールに向ければ、壊してもタダの場所で好きなだけ壊させられます。

手順：サンドボックスで最初のエージェントタスク。関連：隔離された CI テスト、LLM 評価、コードレビューと PR チェック。