最適なAIサンドボックスソリューションとは、汎用的なリストで1位にランクされるものではなく、ワークロードの分離要件、運用許容度、コストモデルに合致するものです。マルチテナントアプリでの短いコード実行には、軽量なマネージドマイクロVMサービスが通常最適です。1時間に何百ものサンドボックスを起動するRLや評価パイプラインでは、機能の深さよりも同時実行性とセッション単価の方が重要です。厳格なコンプライアンス要件やVPC制約のあるチームでは、セルフホストまたはBYOCデプロイがトレードオフを完全に変えます。このガイドでは、AIサンドボックスソリューションの主要カテゴリを、意思決定の基準となるユースケースと評価軸にマッピングします。
AIサンドボックスソリューションにはどのような種類がありますか？
マネージドクラウドサンドボックス
マネージドクラウドサンドボックスはAPIファーストのサービスで、プロバイダーがVMプロビジョニング、ライフサイクル管理、ネットワーキング、スケーリングといったすべてのインフラを処理します。SDKを呼び出してサンドボックスを作成し、その中でコードやコマンドを実行し、プラットフォームが後片付けを担当します。
実用的な利点は、統合までの時間が短いことです。管理すべきクラスタも、チューニングすべきスケーリングポリシーも、維持すべきVMイメージもありません。支払いはセッション単位または消費したコンピュート単位です。
制約としては、共有インフラ上で動作するため、プロバイダーのネットワークエグレス、パッケージインストール、リソース制限、セッション期間に関するポリシーに従う必要があります。VPC要件や厳格なデータ保存場所制約のあるチームは限界に直面する可能性があります。
一般的な適合：コーディングエージェント、ブラウザ自動化、データ分析パイプライン、LLM評価ハーネス。
このカテゴリの例としては、E2B、Daytona（マネージドモード）、Novita Agent Sandboxが挙げられます。
セルフホストのオープンソースオプション
セルフホストサンドボックスは、サンドボックスインフラを自身のクラウドアカウント、オンプレミス、またはVPC内で実行できるようにします。一般的なアプローチとしては、Dockerベースのコンテナ分離、FirecrackerマイクロVMランタイム、またはgVisorベースのシステムがあります。
トレードオフは運用負荷です。プロビジョニング、パッチ適用、スケーリング、可観測性、障害処理をすべて自分で行う必要があります。プラットフォームエンジニアリングの能力と真のコンプライアンス要件（エアギャップ環境、規制対象データの取り扱い、サードパーティによるコード実行に対する組織ポリシー）を持つチームにとって、セルフホストはしばしば唯一の実行可能な選択肢です。
セルフホストは、大規模運用においてより厳格なコスト管理も可能にします。インフラがプロビジョニングされれば、サンドボックスあたりの限界費用は単なるクラウドコンピュートコストだけです。高同時実行性では、その利点が運用オーバーヘッドを相殺することがあります。
一般的な適合：厳格なデータ保存場所やコンプライアンス要件を持つエンタープライズ、運用投資が報われる規模のチーム。
組み込みインタプリタサンドボックス
組み込みインタプリタサンドボックスは、制御された環境内で特定の言語ランタイム（最も一般的にはPythonまたはJavaScript）に実行を制限します。これらは、一般的なエージェントワークロードではなく、狭く予測可能なコード実行のために設計されています。
例としては、Pyodide（WebAssembly経由のPython）、Denoのパーミッションゲートランタイム、さまざまなREPL-as-a-service統合があります。これらは迅速に統合でき、呼び出し元プロセスの近くで実行されるため（場合によっては完全にブラウザ内で）、インフラオーバーヘッドが最小限です。
制限は範囲です。組み込みインタプリタサンドボックスは通常、任意のパッケージをインストールしたり、シェルコマンドを実行したり、バックグラウンドプロセスを開始したり、永続的なファイルシステムを管理したり、状態を持つマルチステップワークフローを処理したりすることはできません。「LLMにPythonを書かせて安全に実行させる」だけの単純なユースケースでは機能しますが、本格的なコーディングエージェントやコンピュータ操作ワークフローに近いものになると、すぐに限界に達します。
一般的な適合：コード説明機能、LLMアシスト計算機、シンプルなブラウザ内REPLデモ。
フルエージェントランタイムサンドボックス
フルエージェントランタイムサンドボックスは、単なるコード実行の分離を超えています。ファイルシステム、バックグラウンドプロセスサポート、パッケージインストール機能、ネットワークアクセス、ブラウザ環境、場合によってはデスクトップGUIを備えた、状態を持つワークスペースを提供します。これらはすべて、分離されたVM境界内で動作します。
これらは、エージェントがアクションを実行し、結果を観察し、多くのターンにわたって継続する必要があるマルチステップワークフロー向けに設計されています。ファイルを編集し、テストを実行し、変更をコミットするコーディングエージェント、段階的にWebインターフェースを操作するブラウザエージェント、または数百のエピソードを並行して起動するRL評価ハーネスは、すべてフルエージェントランタイムの機能の恩恵を受けます。
表面積が大きいということは、評価すべき項目も多いことを意味します。分離モデル、セッションの状態保持、ネットワークエグレスポリシー、パッケージインストール動作、一時停止/再開サポート、同時実行制限、これらすべてが重要です。また、価格モデルの複雑さが最も高いサンドボックスでもあります。
一般的な適合：コーディングエージェント、コンピュータ操作エージェント、ブラウザ自動化、RLおよび評価パイプライン、長時間実行されるマルチステップエージェントワークフロー。
AIサンドボックスソリューションの評価方法
AIサンドボックスソリューションを比較する際、本番環境の動作とコストに実際に影響を与えるのは以下の評価軸です。
| 評価軸 | 確認する内容 |
|---|---|
| 分離モデル | VM境界（マイクロVM、フルVM） vs コンテナ vs プロセス分離。マルチテナントのセキュリティと爆発半径に影響。 |
| セッションの状態保持 | ファイルシステムはツールコールやLLMのターン間で保持されるか？サンドボックスは中断したところから再開するか、それとも各コールで新しく始まるか？ |
| 起動レイテンシ | API呼び出しからサンドボックス準備完了までの時間。インタラクティブなワークフローに影響。バッチ評価では重要度が低い。 |
| エグレス/ネットワーク制御 | デフォルトで送信ネットワークは許可されるか？特定のドメインにエグレスを制限できるか？プロバイダーはエグレスに課金するか？ |
| パッケージインストールポリシー | エージェントは実行時に任意のパッケージをインストールできるか？毎回のセッションでインストール時間を支払わなくて済むようにテンプレート/スナップショットシステムはあるか？ |
| 言語とランタイムサポート | Python、Node.js、シェル、ブラウザ — どのランタイムがファーストクラスか？追加設定が必要なものは？ |
| セッション期間と同時実行性 | 各価格帯での最大セッション長。同時実行制限とその引き上げの可否。 |
| リソース設定可能性 | サンドボックスごとにvCPUとメモリを独立して設定できるか？最小/最大割り当ては？ |
| 一時停止/再開とスナップショット | 実行中のセッションを状態を失わずに一時停止・再開できるか？起動コスト削減のためにテンプレートやスナップショットは利用できるか？ |
| SDKとAPIの品質 | 対象言語の公式SDK、安定したAPIバージョニング、認証モデル、ドキュメント品質。 |
| 可観測性 | プラットフォーム内またはエクスポートによるログ、イベント、セッションメトリクス、使用状況の可視性。 |
| 価格モデル | 秒単位のコンピュート、セッション料金、サブスクリプション階層、ストレージコスト、エグレス料金。単一の指標で総コストを把握することはできない — ワークロードプロファイルに合わせて全体的な組み合わせを評価。 |
| デプロイメントモデル | フルマネージドクラウド、BYOC（自社のAWS/GCPアカウント）、またはセルフホスト。 |
| セキュリティとコンプライアンス | SOC 2、データ所在地、監査ログの利用可能性、VPCサポート。 |
どのAIサンドボックスがあなたのユースケースに適合しますか？
AIワークロードの種類によって、これらの評価軸の重み付けは異なります。以下を決定的なランキングではなく、評価の出発点として使用してください。
| ユースケース | 最も重要な評価軸 | カテゴリ適合 |
|---|---|---|
| 短いコード実行（LLM生成のPython、JS） | 起動レイテンシ、セッション単価、言語サポート | マネージドクラウドまたは組み込みインタプリタ |
| データ分析エージェント | セッションの状態保持、パッケージインストール、メモリ設定、ランタイムサポート | マネージドクラウドまたはフルエージェントランタイム |
| コーディングエージェント（ファイル編集、テスト実行、コミット） | ファイルシステム永続性、シェルアクセス、パッケージインストール、セッション期間 | フルエージェントランタイム |
| ブラウザ自動化/コンピュータ操作 | ブラウザ環境、視覚的出力、状態保持、セッション期間 | フルエージェントランタイム |
| RL/評価パイプライン | 同時実行制限、セッション単価、起動レイテンシ、テンプレートサポート | マネージドクラウドまたはフルエージェントランタイム |
| セキュリティ重視の企業 | 分離モデル、BYOC/VPCサポート、監査ログ、コンプライアンス認証 | セルフホストまたはBYOC対応マネージドクラウド |
重要な洞察：マルチステップの状態、ファイル永続性、パッケージインストールを必要とするユースケースは、フルエージェントランタイムサンドボックスへと向かいます。短いセッションで高い同時実行性を必要とするユースケースは、セッションあたりのオーバーヘッドが低く、テンプレート/スナップショットのサポートが優れたソリューションへと向かいます。セキュリティ主導の要件は、どの機能セットが最適かに関係なく、BYOCまたはセルフホストへと向かいます。
Novita Agent Sandboxが該当する領域
Novita Agent Sandbox は、フルエージェントランタイムカテゴリに属するマネージドクラウドサンドボックスです。AIエージェントスタートアップ、コーディングエージェントチーム、ブラウザエージェント開発者、評価/RLインフラストラクチャに位置づけられています。
現在のプロダクトドキュメントに基づくと、Novita Agent Sandboxは以下をサポートしています。
- Pythonとシェルアクセスによるコード実行
- マルチステップエージェントワークフロー全体でのファイルシステム永続性
- ブラウザ自動化のサポート
- サンドボックスごとに設定可能なvCPUとメモリ（カスタムリソース設定へのアクセスにサブスクリプションは不要）
- 最大24時間のセッション長
- アイドル時間の課金を削減する一時停止/再開と自動一時停止
- 繰り返しのパッケージインストール時間を回避するスナップショットテンプレート
- 自社のAWSまたはGCPアカウントでのBYOCデプロイ（VPCやコンプライアンス要件があるチーム向け）
- E2B互換のSDKインターフェース。これにより、すでにE2Bを使用しているチームの移行摩擦を軽減します。
価格について：Novitaは、実際のvCPUとメモリ使用量に基づいて秒単位で請求し、月額サブスクリプションは不要です。現在の価格は novita.ai/sandbox に記載されています。この市場のサンドボックス価格は頻繁に変更されるため、最新の料金についてはそのページで確認してください。
Novitaが適しているケース： コーディングエージェント、データ分析エージェント、またはブラウザ自動化を構築しており、月額サブスクリプションの最低料金なしでマネージドクラウドソリューションを希望するチーム。すでにE2B SDKを使用しており、互換性のある代替手段を評価したいチーム。VPCやコンプライアンスの理由でBYOCが必要だが、それ以外はマネージドインフラを好むチーム。
他のオプションが適している可能性があるケース： E2Bの特定のSDKエコシステムやエンタープライズサポート階層に深くコミットしているチーム。BYOCでは不十分なオンプレミスやエアギャップ環境でのデプロイメントが必要なチーム。GPUサンドボックスを必要とするワークロード（サポートを想定する前に現在のNovita GPUサンドボックスの可用性を確認してください）。オープンソースまたはセルフホストポリシーによりマネージドプロバイダーを一切排除するチーム。
マネージド vs セルフホストのAIサンドボックス：それぞれを選ぶべきタイミング
マネージドサンドボックスサービスはインフラ作業を排除しますが、トレードオフがあります。共有インフラ上で動作し、プロバイダーのポリシー決定に従い、コンピュート単位で支払いを行います。クラスタを所有するわけではありません。
セルフホストサンドボックス（またはクラウドアカウントを提供するBYOCモデル）は、運用責任をチームに移します。判断基準は以下に依存します。
コンプライアンスとデータ要件。 規制要件によりコードやデータを第三者に送信できない場合、セルフホストまたはBYOCが唯一の選択肢です。マネージドプロバイダーからのBYOCオプションは、この難しいバランスを取ることができます。プロバイダーのソフトウェアはVPC内で実行されますが、インフラはユーザーが所有します。
規模とコスト。 非常に高いサンドボックスボリュームでは、インフラを所有することでサンドボックスあたりの限界費用を削減できます。しかし、そこに至るまでの運用オーバーヘッド（プロビジョニング、オートスケーリング、パッチ適用、可観測性）は現実です。月間数百万セッション未満のほとんどのチームにとって、エンジニアリング時間を考慮すると、通常マネージド価格の方が競争力があります。
機能要件。 カスタム分離ポリシー、プライベートパッケージレジストリ、特定の監査ログ形式など、一部の機能はセルフホストインフラで実装する方が簡単です。マネージドプロバイダーは迅速に動きますが、すべての設定を公開しているとは限りません。
チーム規模とプラットフォームエンジニアリングの能力。 Firecrackerベースのサンドボックスランタイムをセルフホストするのは簡単ではありません。運用負荷は、専任のプラットフォームエンジニアリングチームに適しています。2人でコーディングエージェントスタートアップを運営しているチームにとって、その時間投資が正当化されることはほとんどありません。
実用的な道筋：コンプライアンスが主な動機であれば、BYOC対応のマネージドプロバイダーから始めてください。それにより、データをプロバイダーの共有インフラに置くことなく、マネージドインターフェースを得られます。BYOCが特定のコンプライアンス要件を満たさない場合にのみ、完全なセルフホストに移行してください。
サンドボックスを採用する前の評価チェックリスト
サインアップしたり、本番ワークロードを移行する前に、以下を確認してください。
分離
- VM/コンテナの境界は何ですか？ マイクロVM、コンテナ、またはプロセスレベルですか？
- 分離はテナント単位、セッション単位、それともチーム単位ですか？
セッションライフサイクル
- セッション内のツールコール間でファイルシステムの状態は保持されますか？
- セッションの有効期限はどのように処理されますか？ 正常終了か強制終了か？
- 一時停止/再開はサポートされていますか？ 再開レイテンシはどのくらいですか？
パッケージとランタイム
- エージェントは実行時に任意のパッケージをインストールできますか？
- 事前インストール済み環境のテンプレートやスナップショットは利用できますか？
- テンプレートのビルドはどのように課金されますか？
ネットワーク
- デフォルトで送信ネットワークは許可されますか？
- エグレスを特定のドメインやIPに制限できますか？
- エグレスは別途課金されますか？
同時実行性と制限
- 現在のプランレベルでの同時実行制限はいくつですか？
- 制限を引き上げることはできますか？ その場合のコストは？
- 最大セッション時間はどれくらいですか？
価格
- コンピュート時間とは別にセッション料金はありますか？
- カスタムリソース設定にアクセスするために月額サブスクリプションの最低料金は必要ですか？
- ストレージの課金方法は？
- 現在の料金はいつ最後に更新されましたか？
デプロイメント
- BYOCまたはセルフホストデプロイメントは利用できますか？
- BYOCはどのクラウドプロバイダーをサポートしていますか？
コンプライアンス
- どのような認証を取得していますか（SOC 2、ISO 27001）？
- 監査ログは利用可能ですか？ どのような形式ですか？
- データ処理契約（DPA）は利用できますか？
よくある質問
AIサンドボックスソリューションとは何ですか？
AIサンドボックスとは、AIエージェントがコードを実行したり、ファイルを管理したり、パッケージをインストールしたり、ブラウザやその他のインターフェースとやり取りしたりするための、隔離された実行環境です。サンドボックスは、ホストを信頼できない生成コードから保護し、評価のための再現可能な環境を提供し、マルチテナントのエージェントワークロードが互いに干渉せずに並行して実行できるようにします。
マネージドサンドボックスとセルフホストサンドボックスの違いは何ですか？
マネージドサンドボックスサービスは、プロビジョニング、スケーリング、パッチ適用、可観測性などのインフラを処理し、消費したコンピュートまたはセッションに対して課金します。APIを呼び出してサンドボックスを作成すれば、プロバイダーが残りすべてを処理します。セルフホストサンドボックスは、ユーザーが制御するインフラ（自分のクラウドアカウント、VPC、またはオンプレミス環境）で実行されます。より多くの制御と、規模が大きくなれば潜在的に低い限界費用が得られますが、すべての運用責任を負うことになります。
マイクロVMベースのサンドボックスが必要ですか、それともコンテナで十分ですか？
脅威モデルによって異なります。コンテナ分離（Dockerなど）は、信頼できるコードや行儀の良いエージェントを使用する内部ツールに適しています。マイクロVM分離（FirecrackerやQEMUなど）は、より強力な境界を提供します。サンドボックスごとに別個のゲストカーネルが存在するため、マルチテナント環境で信頼できないコードやLLM生成コードを実行する際の爆発半径が減少します。本番コーディングエージェント、ブラウザ自動化、またはエージェントのコードが完全には予測できないワークロードでは、マイクロVMレベルの分離は、わずかに高いオーバーヘッドに見合う価値があります。
異なるサンドボックスプロバイダーの価格はどのように評価すればよいですか？
見出しのレートだけでなく、特定のワークロード形状に対する全体的なコストプロファイルを比較してください。主要な変数：秒単位のコンピュートレート、セッション最低料金、カスタムリソース設定を解除するための月額サブスクリプション要件、ストレージ価格、エグレス価格、アイドル時間の処理。自動一時停止機能を持つプロバイダーは、実行ステップ間のLLM待機時間があるワークロードのコストを大幅に削減できます。価格は頻繁に変動し、マーケティングサマリーは遅れることが多いため、必ず直接価格ページを確認してください。
AIサンドボックスにおけるBYOCとはどういう意味ですか？
BYOC（Bring Your Own Cloud）とは、サンドボックスサービスがプロバイダーの共有インフラではなく、ユーザー自身のクラウドアカウント（例えばAWS VPCやGCPプロジェクト）内で実行されることを意味します。プロバイダーのソフトウェアがプロビジョニングと管理を処理しますが、コンピュートはユーザーのアカウントで実行され、データはユーザーのVPC内に留まり、基盤となるインフラストラクチャに対する課金の可視性を保持します。これは、データ保存場所要件、VPCセキュリティポリシー、またはサードパーティの共有インフラを排除するコンプライアンス制約があるチームにとって重要です。
