Cloudflare社はAgents Weekの一環として、SandboxesおよびCloudflare Containersの一般提供を発表し、AIエージェントのワークロード向けに持続的で隔離されたLinux環境を提供すると明らかにした。
昨年6月にベータ版として初めて公開され、今回の一般提供では、安全な認証情報の注入、PTYターミナル対応、持続的なコード実行環境、ファイルシステム監視、スナップショットに基づくセッション復元、ならびに使用したサイクルに対してのみ課金するアクティブCPU課金が追加された。CloudflareチームのKate Reznykova氏およびMike Nomitch氏は次のように述べた。
現在のものは性質として異なります。今日のSandboxは完全な開発環境です。すなわち、ブラウザから接続できるターミナル、状態を保持するコード実行環境、ライブプレビューURLを伴うバックグラウンドプロセス、リアルタイムで変更イベントを発するファイルシステム、安全な認証情報注入のためのイグレスプロキシ、そしてウォームスタートをほぼ即時にするスナップショット機構を備えています。
Cloudflare Sandboxは、名前による要求があった際にオンデマンドで起動するコンテナであり、アイドル時には自動的にスリープし、新たな要求を受信すると再び起動する。同一のサンドボックスは一貫したIDを通じてどこからでもアクセス可能であり、エージェントに対して、やり取りをまたいで持続するステートフルな環境を提供した。SDKは、コマンドの実行、リポジトリの複製、ファイルの書き込み、およびプロセス管理のためのメソッドをTypeScript APIを通じて提供する。
ベータ版以降の主な改善点は、セキュリティ、利用体験、およびコストに集中している。セキュリティ面では、アウトバウンドWorkersがプログラム可能なイグレスプロキシとして機能し、サンドボックスからの外向きリクエストをインターセプトし、ネットワーク層で認証情報を注入する。エージェントがトークンを見ることはない。利用人は、宛先ドメインごとにカスタム認証ロジックを記述し、サンドボックスごとにアイデンティティ認識ポリシーを適用し、タスクの進行に応じてネットワークアクセスを動的に制限が可能である。Cloudflare社はこれを、信頼されていないワークロードにトークンが一切付与されないゼロトラストモデルであると説明している。
class OpenCodeInABox extends Sandbox { static outboundByHost = { "my-internal-vcs.dev": (request, env, ctx) => { const headersWithAuth = new Headers(request.headers); headersWithAuth.set("x-auth-token", env.SECRET); return fetch(request, { headers: headersWithAuth }); } } } 開発者エクスペリエンスの面では、PTY対応により、従来のエージェントシステムにおけるリクエスト・レスポンス型のシェルシミュレーションは、WebSocketを介してプロキシされる実際の擬似ターミナルセッションに置き換えられる。持続的なコード実行環境は、実行呼び出しをまたいで状態を保持し、変数やインポートはJupyter notebookにおける場合と同様にステップ間で維持される。ライブプレビューURLを伴うバックグラウンドプロセスは、エージェントが開発サーバーを起動し、動作中のリンクを共有することを可能にする。Linuxのinotify上に構築されたファイルシステム監視は、エージェントがファイルの変更にリアルタイムで反応を可能にする。
スナップショットは今後数週間で順次展開され、コンテナのディスク全体の状態を保持し、ほぼ即時の復元を可能にする。これにより、エージェントがセッションを分岐させるパターンが実現される。すなわち、同一のスナップショットから4つのサンドボックスを起動し、異なるアプローチを並行して検討することが可能になる。Cloudflare社は具体的な数値で実用的な影響を示しており、リポジトリの複製、npm installの実行、およびゼロからの起動には30秒を要する一方、バックアップからの復元は2秒で完了する。
Figma社は同インフラ上で本番のエージェントワークロードを稼働させている。Figma社でAIおよびプラットフォーム部門を率いるAlex Mullans氏は、発表の中でそのユースケースについて次のように説明した。
Figma Makeは、あらゆる背景を持つ作り手が、アイデアから本番までより迅速に到達することを支援するために構築されています。その目標を実現するために、信頼されていないエージェントおよびユーザーが記述したコードを実行できる、信頼性が高く高いスケーラビリティを備えたサンドボックスを提供するインフラソリューションが必要です。
AIエージェント向けサンドボックスの分野は、ますます競争が激化している。E2Bはセッションごとに専用カーネルを持つFirecrackerマイクロVMを採用し、Fortune 500のおよそ半数による採用を報告している。Daytonaは2025年初頭に開発環境からAIエージェント向けインフラへと転換し、Dockerコンテナを用いたサンドボックス生成を90ミリ秒未満で実現すると主張している。ModalはサーバーレスインフラによりGPU負荷の高いPythonワークロードを対象としている。Vercel社はFirecrackerベースのSandboxをベータ版として公開した。 Cloudflare社の提供の差別化要因は、グローバルネットワーク全体にわたるエッジ分散と二層構造にある。すなわち、一時的なコード実行向けの軽量なV8アイソレートベースのDynamic Workers（同じAgents Weekにおいてオープンベータに入った）と、git、bash、開発サーバー、多言語ビルドを備えた完全なオペレーティングシステムが必要な場合に用いるコンテナベースのSandboxesである。
価格面では、SandboxesはアクティブCPU課金を採用しており、プロビジョニングされたリソースではなく、実際に使用したCPUサイクルに対してのみ課金される。CPU時間の料金は1 vCPU秒あたり0.00002ドル。標準プランでは、最大15,000のliteインスタンス、6,000のbasicインスタンス、そして1,000を超える大規模インスタンスの同時実行に対応している。SDKはバージョン0.8.9で、ドキュメントも公開されている。