Anthropic、LLM サンドボックス基盤の技術構成を公開──gVisor と Firecracker を用途別に使い分け
信頼できないコード実行を伴うエージェント機能において、起動速度 100ms 以下の高密度な隔離環境をどのように実現しているかの設計指針を提示した。
リリース: 2024-06-05 · 読了 8 分記事の要約
1. 核心（What）
- コード実行を伴う Analysis Tool には、gVisor を採用しカーネルとユーザー空間を分離してシステムコールを制限している。
- より軽量な隔離が必要なケースでは WebAssembly (Wasm) を活用し、ランタイムレベルでのオーバーヘッドを最小化している。
- マルチテナント環境の基盤として Firecracker マイクロ VM を用い、ハードウェアレベルの境界でテナント間を隔離している。
2. 影響（Why）
- 「エージェントにコードを書かせて実行させる」機能の実装において、Docker 以上のセキュリティ強度と Lambda 以上の起動速度を両立させる具体的なスタックが判明した。
- 開発者への影響: MCP (Model Context Protocol) 等で外部ツール連携を実装するテックリードは、単なるコンテナ実行ではなく、gVisor 等を用いたシステムコール制限を標準構成に組み込むべき。
- 日本への影響: 金融・官公庁向けに LLM ツールを開発する国内 SIer や Vertical SaaS ベンダーは、既存のクラウド標準機能で不足する「動的なライブラリ導入と即時実行」の安全な実装パターンとして本構成を模倣できる。
3. 根拠・詳細（How）
- Anthropic Engineering Blog (2024-06-05 公開)