セキュリティリスクとサンドボックスの境界
エージェントの設定がセキュリティにとって重要である理由と、Managed Agentsのサンドボックスでできることとできないこと。
このページでは、Managed Agentsのデプロイメントを保護するの設定が重要である理由と、サンドボックスでできることとできないことについて説明します。
これが重要な理由
エージェントが読み取るコンテンツに隠された指示によって、エージェントが誘導される可能性があります。これは「prompt injection」（プロンプトインジェクション）と呼ばれます。Claudeは本質的にこれに対する耐性を備えていますが、モデルの振る舞いはセキュリティ制御ではありません。Managed Agentsのデプロイメントを保護するの設定は、攻撃が成功した場合の影響を制限します。
また、Claudeは与えられたタスクを完了しようと作業を続ける中で、予期しないステップを実行することがあります。たとえば、障害を乗り越えるために、アクセス可能なツールや認証情報を使用する場合があります。同じ設定によってそのようなステップが到達できる範囲が制限され、オフラインレビュアーが事後にそれを検出できます。
| 起こりうる問題 | 例 | 制御 |
|---|---|---|
| 信頼できない入力がエージェントを誘導する | チケットがエージェントに、すべての未処理の注文をキャンセルするよう指示する | 最小限のツールセット、信頼できない入力を強力なツールから遠ざける、リスクのある操作の承認 |
| サンドボックス内のコードが認証情報を使用できる | エージェントがだまされて実行したスクリプトが、エージェントのキーを外部ホストに送信したり、それを使ってすべての顧客の注文を読み取ったりする | ボールト内の認証情報、制限されたネットワーク、リスクのある操作の承認 |
| オープンなネットワークによりデータが外部に流出する | bashコマンドがファイルを外部ホストに送信する | 制限されたネットワーク、web_fetchのドメインリスト |
| Claudeが予期しないステップを実行する | 障害を乗り越えるために、アクセス可能なツールや認証情報を使用する | Managed Agentsのデプロイメントを保護するの設定。オフラインレビュアーが事後にそのステップを検出できます |
これらの設定はリスクを低減しますが、完全に排除するものではありません。そのため、決して外部に出てはならないデータをサンドボックスに置かないでください。エージェントは、読み取りを許可されたデータを自身の応答やツール出力に含めることができます。これらの設定ではキーの権限は制限されないため、キーを発行したサービス側でその権限を制限してください。これらの設定は、カスタムツール、MCPサーバー、またはセルフホスト型のインフラストラクチャを保護するものではありません。
サンドボックスでできることとできないこと
Managed Agentsは、設計上、エージェントループ、セッション履歴、ボールトのシークレットをサンドボックスの外部に保持します。設計の背景については、Scaling Managed Agentsを参照してください。
| 構成要素 | 実行場所 | 制限するもの |
|---|---|---|
| エージェントループ | Anthropicのサーバー | 設定したツールセット、権限ポリシー、予算 |
bashおよびファイルツール | サンドボックス。クラウド環境では、各セッションに独自の分離されたLinuxコンテナが割り当てられます | 環境のネットワーク設定、ツールセット、権限ポリシー |
web_searchおよびweb_fetch | Anthropicのサーバー | ツール自体のドメインリスト、およびlimitedクラウド環境では環境の許可されたホスト。また、web_fetchは、セッション内にすでに出現したURLのみを開きます |
| ボールトのシークレット | サンドボックスの外部。MCPの認証情報がサンドボックスに入ることはありません。環境変数の認証情報の場合、コードからはプレースホルダーが見えます | MCPの認証情報の場合は、その対象となるMCPサーバーのURL。環境変数の認証情報の場合は、認証情報が許可するホスト、その注入場所、および環境の許可されたホスト |
| セッション履歴 | セッションを削除するまでAnthropicのサーバー | ワークスペースのAPIキー、Claude ConsoleのDeveloperロールとAdminロール、およびセッションの削除 |
| カスタムツール | お使いのアプリケーション | お使いのコード |
クラウド環境では、セッション間でファイルシステムの状態は共有されません。複数のセッションにアタッチされたメモリストアは、それらのセッション間で共有されます。
これらの制限は互いに代替するものではありません。たとえば、環境のホストを制限しても、許可したホスト上でエージェントが認証情報を使用することは防げません。
Was this page helpful?