Cloud Run サンドボックスで AI 生成コードを安全に実行

※この投稿は米国時間 2026 年 7 月 10 日に、Google Cloud blog に投稿されたものの抄訳です。

Google Cloud では、「ホスト アプリケーション、データ、クラウド認証情報を危険にさらすことなく、AI 生成コードや信頼できないバイナリを安全に実行するにはどうすればよいか？」という質問をよく受けます。これは言い換えると、「AI が作成したプログラムを実行するための安全なスペース（つまり、そのプログラムが、より高い権限を持つ信頼できるプログラムとは完全に分離されたスペース）をどのように確保すればよいか？」ということになります。

これまで、デベロッパーはコンテナ クラスタを使用して複雑なサンドボックス インフラストラクチャを構築するか、サードパーティの専用 microVM ランタイムを有料で使用する必要がありました。

このたび、WeAreDevelopers World Congress で、Google Cloud Run サンドボックスの公開プレビュー版を発表しました。Cloud Run サンドボックスは、信頼できないコードやエージェント ワークロードを実行するために特別に構築された、ネイティブでセキュアかつ超高速のランタイム環境であり、ミリ秒単位で起動します。

次の例では、1,000 個のサンドボックスを起動、実行、停止する Cloud Run サービスで、信頼できない Python コードを安全に実行するリクエストを送信します。平均レイテンシは 500 ミリ秒です。

この投稿では、この機能と主なユースケースについて詳しく説明します。

Cloud Run サンドボックスとは

Cloud Run サンドボックスは、既存の Cloud Run サービス インスタンス内にほぼ瞬時に生成できる、軽量で分離された実行境界です。

LLM で、動的に生成された Python スクリプトを実行してビジネスのマージンを計算する必要がある場合でも、ヘッドレス ブラウザをスピンアップしてウェブ調査を行う必要がある場合でも、Cloud Run サンドボックスは、サーバーレス環境を離れることなくこれらのタスクを実行できるセキュアで分離されたサンドボックスを提供します。

主なユースケース

• LLM コード インタープリタ: 高度なデータ分析機能を AI プロダクトに組み込みます。モデルで、Python、R、SQL コードを記述、実行して、データセットの分析、グラフの生成、複雑な数学的計算をセキュアに行うことができます。

• ヘッドレス ブラウザ: エージェントがブラウザを実行するためのセキュアな環境を提供します。ホストマシンを危険にさらすことなく、ウェブページのスクレイピング、スクリーンショットの撮影、ウェブ ワークフローの自動化を安全に行えます。

• ユーザーが送信したコードの実行: AI 以外にも、Cloud Run でホストされているプラットフォームでは、サンドボックスを使用して、エンドユーザーがアップロードしたカスタム スクリプト、プラグイン、Webhook を安全に実行できます。

仕組み: デベロッパー エクスペリエンス

デプロイに 1 つのフラグを追加するだけで、Cloud Run サービスでサンドボックスを有効にすることができます。

ステップ 1: サンドボックス ランチャーを有効にする

Cloud Run サービスをデプロイするときに、gcloud または YAML 構成でサンドボックス ランチャーを有効にします。

ステップ 2: コード内でサンドボックスをネイティブに生成する

有効にすると、軽量のサンドボックス CLI バイナリが自動的に実行環境にマウントされます。エージェント アプリケーションは、標準のサブプロセス呼び出しを使用して、サンドボックスをプログラムで生成できます。

LLM によって生成された信頼できない Python スクリプトを簡単に実行する方法は次のとおりです。

安全性を重視した設計: デフォルトでゼロトラスト

Cloud Run サンドボックスは、悪意のあるコードや誤ったコードの実行からホスト アプリケーションとクラウド リソースを保護するように設計されています。ランタイムは、3 つの重要なセキュリティ境界を適用します。

1. 認証情報と環境の分離: これらのサンドボックスは、Cloud Run サービスの環境変数にアクセスできず、Google Cloud メタデータ サーバーを呼び出すこともできません。

2. ロックダウンされた外向きネットワーク（デフォルトで拒否）: デフォルトでは、サンドボックスの送信ネットワーク アクセスは無効になっています。エージェントが、悪意のあるサーバーにデータを流出させようとするスクリプトを実行するように騙された場合でも、ネットワーク リクエストはシステムレイヤでブロックされます。明示的にリクエストされた場合にのみ、外向きを有効にできます。

3. 安全なファイル システム オーバーレイ: サンドボックスは、コンテナのファイル システムの読み取り専用ビューで実行されます（インストールされたパッケージ、Python ランタイム、バイナリを使用できます）。ただし、すべての変更は、分離された一時的なメモリ オーバーレイに書き込まれます。サンドボックスの実行が終了すると、生成されたファイルはすべて破棄されます。サンドボックス間で再利用するために、必要に応じてファイルをインポートおよびエクスポートすることは可能です。

ADK と ComputeSDK の組み込みサポート

Cloud Run サンドボックスは、Agent Development Kit の次のバージョンで、新しい CloudRunSandboxCodeExecutor によりサポートされます。このインテグレーションにより、次のように 1 行を追加するだけで、Cloud Run で実行される ADK エージェントがコードを実行できるようになります。

また、サンドボックスを実行するための、ベンダーに依存しない SDK である ComputeSDK にも Cloud Run サンドボックスが追加されました。この SDK を使用すると、サンドボックスを Cloud Run サービスの外部からリモートで呼び出すか、サービス上のローカルツールとして直接使用できます。Cloud Run サンドボックスでこの SDK を使用する方法については、こちらをご覧ください。

使ってみる

オンデマンドの仮想マシンに高額な料金を請求する専用のサンドボックス ホスティング プラットフォームとは異なり、Cloud Run サンドボックスは既存の割り当て済み CPU とメモリで直接実行されます。サンドボックスは実行中のインスタンスのリソースを共有するため、この機能を使用しても追加料金や割増料金は発生しません。ドキュメントはこちらからご確認いただけます。

- プロダクト マネージャー、Ryan Pei

- ソフトウェア エンジニア、Greg Block