Docker 新ツール「Docker Sandboxes」～ Claude Code やその他のコーディングエージェントを安全に自律実行

数か月前 Docker 社は、Docker Sandboxes を実験的プレビューとして公開しました。そしてこの度、MicroVM による隔離機能を備えた次世代の Docker Sandboxes がリリースされました。現在、macOS および Windows で利用可能です。

Docker Sandboxes の開発は、「Claude Code や Gemini CLI を安全に実行するにはどうすればよいか？」という、ひとつの問いから始まりました。

Docker Sandboxes は、コーディングエージェント専用に設計された、使い捨て可能で隔離された環境を提供します。各エージェントは、開発環境から隔離された状態で実行されます。そのため、エージェントがパッケージのインストール、設定の変更、ファイルの削除、Docker コンテナーの実行などを行っても、ホストマシンに影響を与えることはありません。

この隔離環境により、Claude Code、Codex CLI、Copilot CLI、Gemini CLI、Kiro などのエージェントを自律的に実行できます。コンピューターに危害が及ぶ心配がないため、エージェントを自由に動作させることが可能です。

最初のプレビュー以降、Docker Sandboxes は進化を遂げました。より安全に、より使いやすく、そしてより強力になっています。

レベル 4 のコーディングエージェント自律性

Claude Code をはじめとするコーディングエージェントは、開発者のコード作成やメンテナンスの方法を根本から変えようとしています。しかし、「マシンとデータを保護しながら、絶え間ない許可プロンプトを表示せずに、エージェントを放置 (自動実行) するにはどうすればよいか？」という実用的な課題が残っています。

多くの開発者がこの問題の解決を試みる際、次のような共通の壁に突き当たります。

OS レベルのサンドボックス: ワークフローを中断させる可能性があり、プラットフォーム間での一貫性が保てません。
コンテナー: 明快な解決策のように見えますが、エージェント自体が Docker を実行する必要がある場合に課題が生じます。
フル VM: 確実に動作しますが、速度が遅いうえに手動での操作が必要であり、プロジェクト間での再利用も困難です。

DOcker は、まさにこのギャップを埋めるために Docker Sandboxes を構築しました。

Docker Sandboxes ～コーディングエージェントのための MicroVM ベースの隔離

多層防御と既定での隔離
- 各エージェントは専用の MicroVM 内で実行されます。
- プロジェクトのワークスペースのみがサンドボックスにマウントされます。
- ハイパーバイザーベースの隔離により、ホスト側のリスクを大幅に低減します。
本格的な開発環境
- エージェントはシステムパッケージのインストール、サービスの使用、ファイルの変更が可能です。
- 絶え間ない承認作業なしで、ワークフローを自動実行できます。
コーディングエージェント向けの安全な Docker アクセス
- コーディングエージェントは MicroVM 内で Docker コンテナーのビルドや実行が可能です。
- ホスト側の Docker デーモンにはアクセスできません。
1 つのサンドボックスで多くのエージェントに対応
- Claude Code、Copilot CLI、Codex CLI、Gemini CLI、Kiro で同じサンドボックス体験を利用できます。今後もさらに追加予定です。
迅速なリセット、クリーンアップ不要
- エージェントの動作に問題が生じた場合は、サンドボックスを削除して数秒で新しい環境を立ち上げ直せます。

プレビューからの進化と今後の展望

実験的プレビューの結果、コーディングエージェントには「頻繁な許可プロンプト」ではなく「明確な隔離境界を持つ実行環境」が必要であるという核心的なアイデアが裏付けられました。初期段階では、実際のワークフローにおいて自然で生産的だと感じられる環境を簡単に構築できるよう、開発者エクスペリエンス (DX) に重点を置きました。

Matt Pocock 氏は「Docker サンドボックスは、私が試したローカル AI コーディングサンドボックスの中で最高の DX を備えています。」と述べています。

今回のリリースでは、開発者エクスペリエンスを損なうことなく、サンドボックスの機能とセキュリティを強化しました。

新機能

MicroVM ベースの隔離: 専用の MicroVM 上で動作し、強力なセキュリティ境界を提供します。
許可/拒否リストによるネットワーク隔離: コーディングエージェントのネットワークアクセスを制御できます。
エージェント向けの安全な Docker 実行: ホストシステムから隔離したまま、エージェントがコンテナーをビルド、実行できる、唯一のサンドボックスソリューションです。