APIキーもコードも外に出さずにAIへ開発を任せる — OpenHandsが1.0で本番運用仕様になった

自律コーディングエージェントを本気で業務に入れようとすると、多くのチームが同じ壁にぶつかる。「自社のコードとAPIキーを、外部のクラウドに預けていいのか？」という壁だ。

DevinやCodexのような商用エージェントは強力だが、リポジトリを丸ごとベンダー側の環境に渡すことに二の足を踏む会社は多い。かといってOSSの代替は「動くけど本番には怖い」ものが大半だった。

その空気を変えそうなのが、9月に出たOpenHandsの1.0だ。

1.0のポイントは「速さ」より「安全に任せられること」

以前のOpenHandsは、正直に言えば「Devinと同じことを無料でやるOSS」という話題性が先行していた。1.0で変わったのは、そこに本番運用向けの安全装置がしっかり載ったことだ。派手な新機能というより、「怖くて任せられなかった部分」を潰しにきた印象がある。

具体的にはこのあたり。

• Dockerサンドボックス — エージェントの動作をDockerで隔離し、任意のコード実行をホストOSに影響を与えずに走らせる
• 行動ごとの安全性判定 — LLMベースのセキュリティアナライザーが、実行前に一つひとつの操作をLOW / MEDIUM / HIGHでリスク評価する
• リスクの高い操作は一時停止 — ConfirmRisky ポリシーと組み合わせると、危険度の高いツール呼び出しの前でエージェントが止まり、人間の承認を待つ
• ネットワーク遮断 — SANDBOX_NETWORK_DISABLED=true でコンテナからの外部通信を断てる
• ユーザー分離 — SANDBOX_USER_ID=1000 で非rootの限定ユーザーとして実行

要は、「AIに勝手にコードを走らせて大丈夫か」という不安に、隔離・可視化・承認の3点で答えた形だ。個人的には、全アクションをHIGH/MEDIUM/LOWで格付けして危ないものだけ止める設計が効いていると思う。全部を人間が確認するのは現実的でないし、かといって全部任せるのは怖い。その中間を突いてきた。

実力はどれくらいか

気になる性能だが、OpenHands 1.0は自前のインフラの中に閉じたまま、SWE-bench Verifiedの約68%のタスクを自律で解けるとされる。

組み合わせるモデルで数字は動く。Claude Opus 4.6とのペアで68.4%、Qwen3-Coder-480Bで68.0%（100ターン時）、拡張思考を有効にしたClaude Sonnet 4.5では72%まで伸びるという。ここが賢いところで、OpenHandsはLiteLLMをモデル抽象層に使っているため、Claude・OpenAI・Azure OpenAI・Gemini、さらにはOpenAI互換のセルフホストエンドポイントまで、好きなモデルを差し込める。エージェントの"頭脳"をベンダーに縛られない、というのはOSSならではの強みだ。

料金と使い分け

導入形態は大きく3つに分かれる。

OSSセルフホスト版はMITライセンスで無料（シングルユーザー・ローカル利用）。モデルの利用料は別途かかるが、セルフホストGPUで回した場合、解決タスクあたりおよそ$0.20〜1.05という試算が出ている。

Individual Cloud（個人向けクラウド）も無料だが、1日10会話までの上限付き。モデル利用料は別で、自分のキーを使うBYOKか、OpenHandsの原価提供オプションを選べる。

EnterpriseはセルフホストまたはプライベートVPCでの展開に対応し、SSO・RBAC・監査ログといった組織向けの機能が付く。

コストを「解決タスクあたり$X」で見積もれるのは、予算を立てる側からするとかなりありがたい。月額固定ではなく、実際に片付いた仕事の分だけ、という感覚に近い。

何が実現するか

一番大きいのは、「セキュリティ部門を説得できる自律エージェント」という選択肢が無料で手に入ったことだ。

コードもキーも自社ネットワークから出さず、危険な操作は人間が承認し、必要ならコンテナの外部通信も切る。この構成なら、これまで「クラウドに預けるのは無理」と諦めていた金融・医療・受託開発のようなドメインでも、自律エージェントを検証テーブルに載せられる。商用SaaSでは難しかった要件を、OSSがセルフホストで満たしにきた、という点にインパクトがある。

もう一歩踏み込むと、モデルを自由に差し替えられる設計は「社内の閉じたネットワークで、ローカルの重みモデルと組み合わせて動かす」使い方とも相性がいい。外部APIに一切依存しない自律コーディング環境——ハードルは高いが、それが現実的な選択肢として見えてきたのは大きい。

正直な評価

素直にすごいと思うのは、OSSが「おもちゃ」ではなく、商用エージェントと同じ土俵で語れる完成度に到達した点だ。SWE-bench 68%前後という数字は、少し前まで商用勢のものだった。

一方で、セルフホストには当然コストがかかる。Dockerサンドボックスの運用、GPUの手配、モデル選定とチューニング——「無料」とはいえ、それを回す人手と知識は要る。手軽さで言えば、ブラウザを開けば動く商用サービスにはかなわない。無料クラウドの1日10会話という上限も、本格利用にはすぐ足りなくなるだろう。

とはいえ、「コードを外に出せない」という制約で自律エージェントを見送ってきたチームには、はっきり刺さるアップデートだ。まずはOSS版をローカルで動かし、自社の要件に耐えるかを確かめてみる価値はある。詳細はOpenHands公式サイトを確認してほしい。