AIエージェントに「自爆する隔離部屋」を30msで用意する — Product Hunt1位のCreateOS Sandbox

AIエージェントにコードを書かせて、そのまま走らせる。今のエージェント開発では当たり前の光景だ。だが、そのコードが安全だという保証はどこにもない。エージェントが幻覚で rm -rf を吐くかもしれないし、悪意あるプロンプトで乗っ取られれば、あなたのサーバーで好き放題される。

だからコードは「箱」の中で走らせる。この「箱」——サンドボックス——を、いかに速く、いかに固く用意するかが、いま静かな競争になっている。7月22日にProduct Huntで1位を取ったCreateOS Sandboxは、その競争に「速さ」と「固さ」の両方で殴り込みをかけた新顔だ。

30msという数字の意味

CreateOS Sandboxの売りは、まず起動の速さにある。ハードウェア分離されたサンドボックスを約30ms（p90）で立ち上げる、と謳っている。

これがどれくらい速いのか。既存の主要プレイヤーと並べると分かりやすい。2026年のサードパーティ計測では、コールドスタートが最速とされるDaytonaで約90ms、Firecracker microVMを使うE2Bで約150ms前後。CreateOSの30msが本当なら、その体感はさらに一段速い。

「たかが100msの差」と思うかもしれない。だがエージェントが1つのタスクで何十回もコードを実行する場面を考えてほしい。1回ごとに箱を立ち上げ、壊して、また立ち上げる。この起動オーバーヘッドが積み重なると、エージェント全体の応答性を大きく左右する。速い箱は、そのまま「サクサク動くエージェント」につながる。

「箱」の固さ — eBPFで通信を外から縛る

速さだけなら、コンテナを使い回せば済む。CreateOSが面白いのは、隔離の作り込みだ。

各エージェントに、独自のゲストカーネルを持つ隔離環境を割り当てる。プロセスを分けるだけの「なんちゃって隔離」ではなく、カーネルレベルで分ける。この点はE2BのFirecracker microVMと同じ思想で、ホストOSのカーネルを共有するコンテナ型（Daytona等）より一段固い。

そのうえでCreateOSが独自に押しているのが、egress（外向き通信）の制御だ。通信ポリシーをeBPFを使ってカーネル内で、しかもサンドボックスの「外側」から強制する。つまり、箱の中で走るコードがどれだけ暴れても——たとえ完全に乗っ取られても——通信ポリシーを内側から書き換えて回避することはできない。

ここは素直に良い設計だと思う。エージェントのセキュリティで一番怖いのは、乗っ取られたコードが外部に情報を送り出す（データ持ち出し）ことだ。その出口を、コードが触れない場所から締めておく。攻撃者が城の中に入れても、門は外から施錠されている、というイメージに近い。

Claudeプラグインで「使い捨ての箱」が手に入る

もう一つ実用的なのが、Claude向けのサンドボックスプラグインを出荷している点だ。

これによってClaudeが、信頼できないコードを箱の中で実行し、その箱はアイドルになると自己破壊する。エージェントに「ちょっとこのスクリプト動かして結果だけ教えて」と頼んだとき、裏で使い捨ての実行環境が湧いて、用が済んだら消える。ホスト環境は一切汚れない。

CLI、SDK、50以上の実例、computeSDK統合も同梱されているので、自作エージェントに組み込む敷居も低い。

これで何が現実的になるか

一番わかりやすいのは、「他人の書いたエージェントを安心して動かせる」世界だ。今、コミュニティ製のエージェントやMCPサーバーを試すのは、正直こわい。何をするか分からないコードに自分のマシンを預けることになるからだ。使い捨ての固い箱が30msで湧くなら、「とりあえず隔離して動かしてみる」が気軽になる。エージェントのエコシステムが広がるほど、この「安全に試せる土台」の価値は効いてくる。

もう少し踏み込むと、マルチエージェントの並列実行にも向く。エージェントを何十個も同時に走らせるとき、それぞれに独立した箱を瞬時に配れれば、1つが暴走しても他に波及しない。エージェント同士を物理的に隔離した「作業員の詰め所」を大量に用意するようなものだ。これはエージェントの数を増やす方向の開発と相性がいい。

気になる点

料金体系が現時点で明確に打ち出されていないのは気になる。E2Bが無料枠（$100クレジット）やProプラン（月$150）を提示し、DaytonaやModalも従量課金を公開しているのに対し、CreateOSはまだ「触ってみて」の段階に見える。本番投入のコスト感が読めないと、既存のE2B/Daytonaから乗り換える判断は難しい。

それと、30msという数字はあくまで公式の主張だ。第三者のベンチマークで裏が取れているわけではない。ローンチ直後の勢いで期待値が先行している面はあるので、実運用での安定性やスループットは、これから検証されていくところだろう。

とはいえ、「速い×固い×使い捨て」という三拍子を、Claudeプラグインまで揃えて出してきたのは筋がいい。エージェント時代のインフラとして、E2Bの対抗馬になれるか——今後の料金公開と実測ベンチに注目したい。詳細は公式サイトで確認できる。