Strands BoxはAIエージェントを隔離、Linux対応はまだ先

|著者: QUASA編集チーム|2 分で読めます| 5
Strands BoxはAIエージェントを隔離、Linux対応はまだ先

AWS系のStrandsプロジェクトは2026年10月7日、AIエージェント向けのStrands Boxを開発者プレビューとして公開した。Apache 2.0ライセンスのオープンソース製品で、OSの隔離機能がエージェントの到達範囲を絞り、Dogwoodポリシーがシェル、Python、MCP、外向き通信の操作を判断する。特定のエージェント製品に固定されず、既存のエージェントを包んで動かせる設計だ。

現時点で対応するのはApple silicon搭載Macで、Linux版の公開日は決まっていない。AWSのMarc Brooker氏はThe Registerの取材に「Policies can then account for the action being attempted and earlier activity.」と説明した。同誌への回答ではLinux対応を開発中とし、Windows版も検討対象に挙げている。

OSが到達範囲を決め、Dogwoodが操作を選別する

Strands Boxでは、エージェントが直接触れられる範囲と、その範囲で許される行為を別々に定める。設定ファイルのbox.tomlには実行するエージェント、作業場所、直接アクセスできるファイル、使えるホストツール、MCPサーバー、通信先などを記す。Mac版ではmacOSの隔離機構Seatbeltが、プロセスによるファイルやプログラムへの直接アクセスを制限する。

もう一方のpolicy.dwにはDogwoodのルールを書く。Boxを通過する操作は、該当する許可ルールがなければ拒否され、明示的な禁止ルールは許可より優先される。判断対象には要求された操作だけでなく、Boxが記録した過去の操作も含められるため、ファイルを読んだ後の外向きHTTP要求を止めるような条件を表現できる。

この構成は、コンテナや小型仮想マシンによる隔離とは制御の粒度が違う。隔離は「どこへ届くか」を制限できるが、Strands Boxは許された経路を通る操作について、ファイルの削除、ツールの起動、HTTPのメソッドやパスまで判断する。エージェント自身の承認ダイアログがコマンドの実行可否を尋ねるのに対し、Boxの判断点はコマンドが実際に触れるファイルなどを扱う。

ただしDogwoodの履歴に入るのは、Boxの判断点を通った操作だ。エージェントに組み込まれたReadやWriteなどのツールが、許可済みのディレクトリをプロセスから直接開く場合、OSによる範囲制限は働くが、その読み書きはDogwoodの個別判断や操作履歴には現れない。ファイル変更までポリシーで判断したい構成では、その操作をBoxのシェル経由に集める必要がある。

シェルとPythonの先にあるホストツールは別領域で動く

エージェントがbashやpython3を呼ぶと、Strands BoxはStrands ShellとPython用のMontyで実行内容を扱う。両インタープリターはエージェントの隔離領域ではなく、ポリシーエンジンを持つBox側の信頼されたプロセスで動く。ファイルの読み取りやプログラムの起動をそこで判定できるため、単にコマンド文字列を許可するより細かい操作が見える。

シェルとPythonは同じイベント履歴を使う。どちらからファイルを読んでも、Boxにはfs:readという種類の操作として記録される。先にPythonで特定のファイルを読んだことを条件に、後のシェルやHTTP要求を制限できるのは、この記録が実行経路をまたいで共有されるからだ。

例えばシェルから削除コマンドを実行した場合、Strands Shellは対象ファイルごとの削除操作をポリシーに渡せる。許可したコマンドの内側で何が起きるかを見られる半面、判断を担うインタープリター自体は信頼すべきコードに加わる。隔離の強さだけでなく、Box側の実装が正しく操作を捉えることも、この方式の前提になる。

ホストにあるgitやawsなどの実行ファイルは、起動が許可されると、エージェントとは別のサンドボックスで動く。各ツールには個別のファイルアクセス範囲が与えられ、ツール側からBoxのシェルやPythonへ戻る経路はない。したがって、エージェントにgitの起動を許しても、それだけでエージェントの隔離領域にホスト全体の権限が加わるわけではない。

MCP、通信、認証情報にも境界がある

ローカルのMCPサーバーも、エージェント本体やホストツールから分かれたサンドボックスで起動する。エージェントからの要求はBoxのMCPブローカーを通り、ツール一覧の取得や個々のツール呼び出しをDogwoodが判断する。サーバーを接続できる設定と、その全機能を呼べる許可は別のものだ。

エージェントの外向き通信はBoxのゲートウェイを通る。ゲートウェイは接続先のホストやポートに加え、HTTPのメソッドとパスを判断材料にでき、許可された要求を転送する。ホストツールとローカルMCPサーバーの通信も通常はこの経路を通るが、設定でゲートウェイ経由の制限を外せるため、追加するプロセスの通信設定も実際の境界を左右する。

認証情報は、エージェントへ秘密の値を直接渡さずに外部サービスへ接続する仕組みと組み合わされる。設定した経路ではエージェント側に代替トークンを見せ、ゲートウェイが許可済みの要求を送る際に実際の値へ置き換える。AWS向けの要求をエージェント外の認証情報で署名する構成も示されている。

一方、同じBox内では、エージェント、各ホストツール、各MCPサーバーが設定済みの認証情報バインディングを利用できる。個々のプロセスごとに秘密情報の利用を分けたい場合は、別のBoxに分離する設計が必要になる。ファイル権限を分けたことだけで、認証情報の利用権限まで分かれるわけではない。

既存エージェントに組み込める範囲と、現在の対応環境

Strands Boxの公式利用ガイドが対応環境として示すのは、Apple silicon搭載のmacOS 15以降だ。Linuxは「まだ非対応」、Windowsも非対応とされる。公開中のソフトウェアはプレリリースの0.1系で、設定項目、ポリシーの操作名、CLIの指定方法は更新によって変わり得る。

Boxはエージェントのモデルやフレームワークに固定されない。box.tomlで動かすプログラムを指定し、必要なファイル、通信先、ホストツール、MCPサーバーを与える方式を採る。利用ガイドにはStrands CLIに加え、Claude CodeやCodex CLIを対象とする手順がある。既存エージェントを起動できることと、その内蔵ツールの全操作をDogwoodが個別に見られることは区別しておく必要がある。

開発者プレビューの現段階では、ローカルのMacで隔離とポリシーを組み合わせて動かせる一方、Linuxサーバーへの移行時期は未定だ。将来の方向には他のOSへの対応と、AgentCore、ECS、Kubernetesで動くエージェントへの展開が挙がっている。Linuxを運用先に想定する開発者には、対応版の公開と、現在の隔離境界がその環境でも維持されるかが次の判断材料になる。

関連記事：

共有:

関連記事

ニュースレターを購読

Web3、AI、暗号資産の最新ニュースを受信箱にお届けします。

0