Akamai Agent Sandboxとは？機能・料金・Spin SDKでの使い方と導入判断
AI脆弱性診断
そのAIシステム、従来の診断だけで十分ですか？
外部・内部の弱点に加え、プロンプトインジェクションや過剰な権限などAI固有の攻撃面も診断します。
Akamai Agent Sandboxは、AIエージェントと、そのエージェントが生成したコードを分離して実行するための環境です。ポイントは、プロンプトで「危険な操作をしないで」と指示するだけでなく、実行環境側でネットワーク、利用可能なAPI、計算資源を制限することにあります。
2026年10月27日にAkamaiが発表した時点で、Akamai Agent SandboxはSpin SDKを経由して提供されるベータ段階の機能です。製品ページでは技術プレビューとしてアクセス申請を案内しており、誰でも直ちに本番利用できる一般提供サービスとして扱うのは適切ではありません。導入可否、契約条件、提供地域、上限、サポート範囲は、申請時にAkamaiへ確認してください。Akamaiの発表／Akamai Agent Sandboxの製品ページ
結論からいうと、Akamai Agent Sandboxを検討しやすいのは、AIが都度生成するコードを実行する、複数顧客の処理を同一基盤で扱う、MCPや外部ツールへの接続を最小権限に絞りたい、といったケースです。一方で、固定済みのAPIだけを、限定的な権限で呼び出すワークフローであれば、エージェントにコード実行を許す必要があるかを先に見直すべきです。AIエージェントにどこまで業務を任せるかの全体設計は、AIエージェントとは？もあわせて確認してください。
Akamai Agent Sandboxでできること
Akamaiの説明では、エージェントはAkamai Functions上で動作し、エージェントが書いたコードはさらに内側の制限付きランタイムで実行されます。外向き通信はデフォルトで拒否され、許可した接続先・ツール・MCPサーバーだけを使わせる設計です。隔離はWebAssemblyランタイムによって実施されると案内されています。製品仕様の説明
観点 | 公開情報で確認できる内容 | 導入時に確認すること |
|---|---|---|
隔離境界 | Spinアプリとして動くエージェントのWebAssembly隔離に加え、生成コードを制限付きJavaScript／Pythonランタイムで実行する二重の境界 | エージェント本体、生成コード、顧客データ、秘密情報の保管先がどこにあるか |
ネットワーク | 生成コードの外向きアクセスはデフォルトでブロック。許可した外部サービス・API・MCPサーバーに絞る考え方 | 許可先のドメイン、プロトコル、認証方式、データ送信項目、失効手順 |
リソース制限 | 実行時に計算資源の上限を適用し、エージェントや生成コード自身は上限を引き上げられないと案内 | メモリ、実行時間、リクエストサイズ、同時実行数が自社処理に足りるか |
状態 | Key Value Storageで文脈・メモリをステップ間で保存できると案内 | 状態へ保存するデータ分類、保持期間、削除、テナント間分離 |
モデル接続 | OpenAI互換APIを公開するモデルに接続する構成を案内 | モデル事業者、入力データの取り扱い、リージョン、費用、障害時の代替先 |
上表は2026年10月27日に確認した公開情報を、導入設計の観点で整理したものです。実際の制約は利用プラン、Akamai Functions側の公開プレビュー条件、利用するSpin機能で変わるため、個別の見積もり・契約前に確認が必要です。Akamai Functionsの公開ドキュメントでは、標準値としてメモリ128MiB、ハンドラー実行時間30秒、アプリサイズ50MiBなどの上限が掲載されていますが、同ページは上限が変更され得る公開プレビューの情報と明記しています。Akamai Functionsのクォータと制限
料金：公開の固定価格は確認できない
2026年10月27日に確認したAkamai Agent Sandboxの製品ページと発表資料では、固定の月額料金、実行回数単価、無料枠は掲載されていません。製品ページは「Request access」として案内しており、発表ではベータ提供とされています。したがって、「月額いくら」と断定せず、アクセス申請・営業窓口で条件を確認するのが正確です。Akamai Agent Sandbox／提供状況を含む発表資料
見積もり時はSandbox単体の費用だけでなく、少なくとも次を分けて確認してください。
- Akamai Functionsの実行・ストレージ・ネットワークに関する費用と上限
- 推論に使うモデルAPIまたはAkamai Inferenceの費用
- 外部MCPサーバー、データベース、ログ基盤、SIEMの費用
- 開発・脆弱性対応・評価データ整備・運用監視にかかる人件費
- 障害時の通知、サポート、SLA、リージョンやデータ処理条件
特に、エージェントが繰り返しツールを呼び出す設計では、モデルトークンだけでなく、実行回数、外部API、ログ量が総額を左右します。料金比較では、同じモデル、同じ入力品質、同じ評価指標、同じ許容誤差で比較しない限り結論は変わります。小規模な実測で、1タスク当たりの成功率・承認率・実行時間・外部呼び出し数・総費用を記録してください。
隔離されるもの、隔離だけでは守れないもの
Sandboxは、生成コードが任意の通信やシステム機能へ到達する経路を小さくするための重要な層です。しかし、隔離環境があることは、データ処理、権限設計、出力内容、外部操作の妥当性まで自動的に保証することを意味しません。
守りたい対象 | Sandboxで主に扱うこと | 別途必要な設計 |
|---|---|---|
秘密情報の外部送信 | 外向き通信をデフォルト拒否にし、許可先を限定する | プロンプト、KV、ログ、モデルAPIへ何を渡すかのデータ分類とマスキング |
他テナントへの影響 | エージェントごとの実行境界とリソース制限 | 認証、テナントIDの検証、検索対象のACL、バックアップと運用者権限 |
誤った外部更新 | ツール・MCP接続先を限定する | 書き込み権限の最小化、承認、冪等性、ロールバック、業務上の完了確認 |
有害な指示の混入 | 生成コードが使える機能を制限する | 信頼できない文書・Webページを命令ではなくデータとして扱う処理、入力検証、評価 |
障害時の説明責任 | 実行の封じ込め | 要求ID、モデル・プロンプト版、ツール呼び出し、結果、人の承認を結ぶ監査証跡 |
AIエージェントの権限、承認、停止、監視をどうつなぐかは、AIエージェントのガードレール設計で詳しく解説しています。生成AIへ入力する情報の分類・契約・ログも含めた対策は、生成AIの情報漏洩対策を参照してください。
Spin SDKとAkamai Functionsによる始め方
Spinは、WebAssemblyを用いたイベント駆動アプリケーションを作成・実行するオープンソースフレームワークです。Akamai FunctionsはSpinアプリケーションを実行するPaaSで、Rust、Go、JavaScript、PythonなどのSDKを案内しています。Akamai Agent Sandboxの生成コード部分は、公開製品ページ上ではJavaScriptまたはPythonの制限付きランタイムとして説明されています。Akamai Functionsの概要／Agent Sandboxの機能説明
以下は、公開ドキュメントに沿った最小の導入順序です。実際にAgent Sandbox固有の機能を有効化する手順やAPIは、アクセス承認後の案内を優先してください。
- アクセス条件を確認する。 Agent Sandboxはアクセス申請が必要です。Akamai Functionsも公開プレビューへのアクセスを前提としているため、先に利用組織・アカウント・サポート条件を確認します。Agent Sandboxのアクセス申請／Akamai Functions Quickstart
- ローカル開発環境を作る。 Spin CLIを導入し、対象言語のテンプレートからSpinアプリケーションを作成します。AkamaiのQuickstartでは、JavaScript用に
spin new -E akamai-functions -t http-js --accept-defaults hello-spin、ローカル実行にspin up、ビルドにspin buildを案内しています。Quickstartの手順 - エージェントと生成コードを分離して設計する。 エージェント本体には、入力検証、モデル呼び出し、許可済みツールの選択、実行結果の判定を置きます。都度生成する分析・変換用コードは、Sandboxで実行する対象として扱います。生成コードへ秘密情報や広範な認証情報を直接渡さない構成にします。
- 通信とツールを許可リスト化する。 「必要な外部サービスだけ」を列挙し、読み取りと書き込みを分けます。最初のPoCでは、外部送信なし、または読み取り専用APIのみを対象にするのが安全です。
- ローカルで失敗ケースを試す。 想定外のURLへのアクセス、巨大な入力、無限反復に近い指示、他テナントIDの指定、存在しないツール呼び出しを用意し、拒否・タイムアウト・エラー記録が期待どおりになるか確認します。
- Akamai Functionsへデプロイする。 Akamaiのドキュメントでは、
spin plugin install akaでプラグインを導入し、spin aka loginで認証後、spin aka deployでデプロイします。Akamai Functions Quickstart - ログと停止経路を接続する。
spin aka logsでアプリケーションログを取得できます。ただし、ログへプロンプト本文・認証情報・個人情報を無制限に残さないよう、記録項目と保持期間を別途決めます。アプリケーションログの公式説明
実装前に作る権限マトリクス
次の表は、Mojiによる実務上の提案です。製品機能の一覧ではありません。Sandboxの設定、MCP設計、IAM、業務承認を同じ表で確認するために使います。
操作 | 初期PoCの扱い | 本番化の条件 | 記録する証跡 |
|---|---|---|---|
添付ファイルの解析 | 架空の例または匿名化データのみ | 対象形式、サイズ、保存先、マルウェア対策、削除期限を承認 | ファイルID、判定、処理結果、削除結果 |
Web・外部APIの参照 | 許可リストの読み取り専用 | 送信データ、接続先、タイムアウト、失敗時の動作を承認 | 接続先、要求種別、応答コード、送信項目の分類 |
MCPツールの実行 | 検索・照会に限定 | ツール単位のスコープ、利用者確認、レート制限を設定 | ツール名、引数の要約、結果、実行主体 |
CRM・チケットの更新 | 下書き作成またはテスト環境のみ | 人の承認、対象レコード制限、冪等キー、ロールバックを実装 | 更新前後、承認者、実行ID、復旧結果 |
顧客への送信・発注・支払い | 実行しない | 原則として最終確認を人に残し、金額・宛先・期限を画面表示 | 確認画面、承認時刻、最終送信内容 |
「エージェントが操作できる」ことと「操作させてよい」ことは別です。特に外部送信、金銭、顧客データ、権限変更を含む操作は、Sandboxの有無だけで自動化可否を決めず、業務責任者が停止条件と承認条件を決めてください。
監査ログと停止条件の最小セット
Sandboxを採用しても、処理結果だけを保存していると、障害や誤操作が起きたときに原因を追えません。以下はMojiによる最小構成の提案です。
- 処理ID： 利用者の依頼から、モデル呼び出し、生成コード実行、ツール実行、最終結果までを同一IDで追跡する。
- 構成の版： アプリ版、Spinコンポーネント版、モデル名、システム指示版、ツール定義版、許可リスト版を記録する。
- 権限判定： 誰が、どのテナント・データ・ツールへ、どのスコープでアクセスを許可されたかを残す。
- 実行結果： 成功だけでなく、拒否、タイムアウト、上限到達、ツール失敗、人による差し戻しを分類する。
- 停止操作： 接続先の無効化、トークン失効、アプリのデプロイ戻し、キュー停止、利用者への通知を、担当者と手順付きで準備する。
停止条件は「不審な出力が出たら」では実行できません。たとえば、未許可ドメインへの通信試行、同一依頼での一定回数以上のツール失敗、許可されていない書き込み要求、テナントID不一致、予算上限超過など、検出可能な条件へ落とします。LLMアプリ全体の運用指標と記録方法は、LLMモニタリングも参考になります。
導入判断チェックリスト
次の質問に「はい」と答えられるほど、Akamai Agent SandboxをPoC候補として検討しやすくなります。
- AIが生成したJavaScriptまたはPythonを、レビュー前に実行する必要がある。
- その生成コードを、アプリ本体・他顧客・社内ネットワークから分離したい。
- 外向き通信を原則禁止にし、必要なAPI・MCPだけを明示的に許可したい。
- SpinとAkamai Functionsを使う、またはWebAssemblyベースの実行環境を採用する合理性がある。
- 実行時間・メモリ・データサイズなどの現行制約内で、処理を小さなステップへ分割できる。
- モデル、データベース、MCP、ログ基盤まで含めた総費用を評価できる。
- 生成コードの失敗、権限外アクセス、異常な反復を検知し、止める担当者と手順がある。
反対に、固定コードだけで処理できる、既存APIを決まった順序で呼ぶだけ、処理時間が長い、広いファイルシステムや自由なネットワーク接続が不可欠、といった場合は、設計要件とAkamai Functionsの制限が合うかを先に確認してください。Akamai Functionsでは、HTTPトリガー、KV、外向きHTTP、MySQL／PostgreSQLなどの対応状況が公開されていますが、すべてのSpin APIやトリガーが利用できるわけではありません。Spin機能とAkamai Functionsの対応状況
まとめ
Akamai Agent Sandboxの価値は、AIエージェントへ「安全に振る舞え」と頼むことではなく、生成コードが到達できるネットワーク・API・リソースを実行環境で制約する点にあります。公開情報では、WebAssemblyを使った二重の隔離、外向き通信のデフォルト拒否、JavaScript／Pythonの制限付きコード実行、OpenAI互換モデルへの接続、Spin SDKとAkamai Functionsを使う構成が案内されています。
ただし、2026年10月27日時点ではベータ／技術プレビューであり、公開固定料金も確認できません。まずはアクセス条件を確認し、外部送信なし・読み取り専用・架空の例または匿名化データの限定PoCから始め、成功率だけでなく、拒否すべき操作を確実に拒否できるか、ログで追跡できるか、停止できるかを評価してください。