AIエージェントに専用の小部屋を与えるGoogleの新基盤とsmolvm

分析・見解

エージェントごとに小部屋を渡す発想の意味

これまでAIエージェントの実行環境は、共有のコンテナや開発者のパソコン上で動くことが多かった。コンテナは軽いが、土台のOSを他のプログラムと共有する。そのため、侵入を許せば隣の領域まで被害が及ぶ余地が残る。Agent Compute Engineは、1体に1つの小型仮想マシンを与え、CPUの機能で壁を作る。賃貸で言えば、壁一枚の相部屋から鍵付きの個室への引っ越しに近い。

認証情報を中に置かない設計が本命である

注目すべきは隔離の強さよりも、鍵の扱いだ。エージェントは外部の文書やウェブページを読む。そこに悪意ある命令が紛れていると、本来の指示を無視して動くことがある。これはプロンプトインジェクションと呼ばれる攻撃だ。もし仮想マシンの中にパスワードやトークンがあれば、壁の中から盗まれてしまう。鍵を持たせず、短命の身元証明を関所で付け替える方式なら、盗めるものが最初から無い。壁を高くするより、金庫を部屋の外に置く発想である。

起動の速さが運用の現実を決める

マイクロVMという考え方は新しくない。AWSのFirecrackerは、数百ミリ秒で起動する軽量VMとして、LambdaやFargateの裏側で長く使われてきた。エージェント用途では、タスクごとに作って捨てる使い方になる。起動が遅ければ使い物にならず、メモリの無駄も増える。Googleがこれをマネージドサービスとして出す意味は、運用の手間を肩代わりする点にある。自前で隔離基盤を組んできた企業は、その作業量を比較することになるだろう。

競争の焦点はクラウド横断の統制に移る

Futurumが指摘するのは、1社の中で安全に動くだけでは足りないという点だ。企業のエージェントは、複数のクラウドや社内システムにまたがって動く。どこで誰の権限で何をしたかを、一つの帳簿で追えるかが問われる。隔離そのものは各社がすぐ並ぶ領域で、差は監査記録や権限の一元管理に出る。この見立てには説得力がある。一方で、他社クラウドの利用者がどこまで使えるかは、公開情報だけでは判断しにくい。