Gemini API の managed agents は「sandbox がある」だけでは安心できない

要点

要点まとめ

Gemini API の managed agents は、1回の API call で Linux sandbox を起動し、その中で推論、コード実行、ファイル操作、web browsing まで進める agent harness として出てきている。
重要なのは agent 自体より、Google-hosted sandbox が OS level isolation を持ちながらも、default では unrestricted outbound network access で動くと明記している点。
allowlist、credential scoping、review-before-rely を自前で置かない限り、『sandbox があるから安全』という理解は成立しない。
日本の開発者や PM にとっての論点はモデル比較ではなく、Google-hosted execution を使うなら、どの資格情報を渡し、どの外向き通信を許し、どの業務では人間レビューを外せないかである。

読解

何が変わったのか

Gemini API は単なる model inference API から、code/files/web を伴う managed execution まで抱える方向へ一段進みました。1回の API call で Linux sandbox を立ち上げ、agent が自律的にツールや web を扱うという整理は、利用者に『prompt を書く』以上の運用責任を返してきます。しかもこの overview は、sandbox の存在だけを売りにしていません。Public Preview であること、敏感な workflow では action と output を review すべきこと、外向き通信は default 開放で allowlist で縛ること、credential は sandbox 内に露出せずとも agent が使えるなら full scope を与えたのと同じだということを先に書いています。

日本の文脈

なぜ重要か

日本語圏では managed agent の話が出ると、性能比較や『コードも書ける』点だけが拡散されやすい。しかし実務導入では、どのベンダーがどの sandbox を持つかより、外向き通信の既定値、資格情報の注入経路、レビュー責任の残り方のほうが止血線になります。そこを読まずに PoC を進めると、社内データや第三者 API を触り始めた瞬間に止まります。創業者や PM にとっても、managed agent は実装速度を上げる一方で、リスク管理をベンダー任せに誤認しやすい点が重要です。

技術ポイント

技術的ポイント

managed agents は Google-hosted の Linux sandbox 上で動き、推論だけでなく code execution、file management、web browsing を同じ harness の中で扱う。
sandbox は OS level isolation だが、network は default で unrestricted outbound access である。したがって isolation と egress control は別問題として扱う必要がある。
network allowlist で outbound traffic を domain や wildcard pattern 単位に制限できるが、allow した先で何ができるかまで含めて capability と見なすべき。
credentials は egress proxy header transformation を通じて sandbox 内へ露出せず注入できるが、agent がその credential を使える以上、実質的にはその full scope を与えたのと同じである。
docs 自体が sensitive workflow では action/output review を求めている。つまり human review は optional improvement ではなく、preview 段階の基本運用として読むべき。

用語

英日キーワード

英語	日本語	補足
managed agent	マネージドエージェント	ベンダーが実行環境ごと提供する agent harness。推論だけでなく code、files、web まで抱える場合は権限設計が本体になる。
Linux sandbox	Linuxサンドボックス	隔離された Linux 実行環境。sandbox があっても外向き通信や資格情報の権限が自動で安全になるわけではない。
allowlist	許可先リスト	通信先を限定する設定。宛先を許すことは、その先の API 機能利用を認めるのと近い意味を持つ。
credential scoping	資格情報のスコープ制限	agent に渡す credential の権限を最小に絞る考え方。使える以上は full scope を与えたのと近い前提で設計する。
review-before-rely	依存前レビュー	agent の行動や出力を、その結果に依存する前に人が確認する運用。特に sensitive workflow では省略しにくい。

試す

試すなら

agent に最初から本番 credential を渡さず、読み取り専用かつ短命 token のみで sandbox を動かす。
network allowlist を空から始め、必要な domain だけを段階的に追加する。wildcard は理由が説明できる場合だけ使う。
『agent が見てよい情報』と『agent が送ってよい宛先』を別表で整理し、sandbox があることを根拠に混同しない。
sensitive workflow では action log と output を人が review する手順を先に固定し、自動化率より誤送信防止を優先する。

注意

注意点

このページは overview であり、隔離強度、tenant 分離、監査ログ保持、長時間実行の制約を網羅しているわけではない。高リスク用途では追加 docs の確認が必要。
Public Preview のため、挙動や制約は変わりうる。今の安全判断を固定仕様として扱わないほうがよい。
Google-hosted sandbox でも credential の権限設計を誤れば被害は防げない。sandbox の有無と権能の大きさは別軸で評価する必要がある.