OpenSandboxとは？
OpenSandboxは、AIエージェントがコマンドを実行したり、ファイルを編集したり、生成されたコードを実行したり、ブラウザやデ スクトップを操作したりできる隔離環境を作成するためのサーバーおよびSDK群です。ローカルのDockerで起動し、同一のライフサイクルAPIを通じてKubernetesへ移行できます。Python、TypeScript、Java/Kotlin、C#/.NET、Go向けのSDK、osbと呼ばれるCLI、およびClaude CodeやCursorなどのクライアント向けMCP serverを提供しています。
本プロジェクトはAlibabaで始まり（パッケージ名には現在もcom.alibabaや@alibaba-groupが残っています）、現在はopensandbox-group組織下のAgentic AI Foundationのプロジェクトとなっています。2026年10月9日にVersion 1.1.1がリリースされ、1.2.0は2回目のリリース候補となっています。
隔離レベルは固定ではなく設定可能です。デフォルトでは通常のコンテナですが、セキュアなランタイムとしてgVisor、Kata Containers、Firecrackerを利用できます。サンドボックスごとのegressポリシーや、アウトバウンドリクエストにシークレットを注入してワークロードに秘匿情報を直接見せないCredential Vaultも備えています。
OpenSandboxは使う価値があるか？
OpenSandboxは、AnthropicのsrtやNVIDIAのOpenShellとは異なる課題を解決します。それらが手元のマシン上で実行されるエージェントを制限するのに対し、OpenSandboxはどこで稼働しているエージェントに対しても、APIを介して使い捨ての新しいマシンを提供します。多くのエージェント製品が秒単位でレンタルしているホスト型コードサンドボックスのセルフホスト版にあたり、10か月間で約16,200のGitHubスターを獲得しています。
公表されている主な数値はメンテナー自身によるものであり、測定方法もあわせて公開されています。ノードあたり192 CPUを備えた2ノードのAlibaba Cloud Kubernetesクラスターにおいて、事前構築されたスナップショットからのウォーム状態のFirecrackerサンドボックスは、シリアル実行の中央値で64 ms、10並列作成のp99で125.4 msで準備完了に達しました。20スロットのプールに対して20並列で作成した際、100回の試行のうち成功したのは51回のみであったこともレポートに率直に記載されています。これらは成果物がキャッシュされたウォームパスの数値であり、初回利用時にはさらに時間がかかります。
セキュリティモデルは慎重な設定を重視しており、デフォルトのままではリスクが残ります。セキュアなランタイムがない場合、サンドボックスは通常のコンテナであるため、生成されたコードによるカーネルエクスプロイトはホストに到達します。gVisor、Kata、Firecrackerはそのギャップを埋めますが、それぞれ独自のノード設定が必要です。server.api_keyが空の場合、サーバーは認証なしで実行されます。DockerやKubernetesでそれを許可するにはOPENSANDBOX_INSECURE_SERVER=YESを設定する必要があり、少なくとも意図的な選択であることが求められます。リリースイメージはCosignで署名されており、ドキュメントではダイジェストによるピン留めが推奨されています。
プロジェクトの開発速度は速く、153件のオープンなIssueとプルリクエストを抱え、1.1.1の2週間後には1.2のリリース候補が登場し、他者がランタイムを構築できるように設計されたプロトコル仕様も存在します。すでにKubernetesを運用し、エージェントの評価や強化学習のロールアウトのために秒単位のサンドボックス利用料を支払っているチームにとって、この開発ペースは強みとなりま す。一方で、ノートPC上の単一のコーディングエージェントにとっては、用途に対して過剰な仕組みです。
真価を発揮する場面
Harborを用いて夜間にエージェント評価を実行するMLチーム
数千件の各試行にクリーンな独立環境を提供する
Kubernetes上でリソースプールとバッチ作成を利用し、各試行に実行後破棄される新しいサンドボックスを割り当てます。コストはホスト型サンドボックスベンダーへの秒単位の利用料ではなく、自クラスターのノード費用のみとなります。
顧客向けエージェントにコードインタープリターを追加するSaaS企業
テナント間で相互に影響を与えることなく、モデルが記述したPythonを多数のテナント向けに実行する
FirecrackerまたはgVisor配下でサンドボックスを実行し、サンドボックスごとのegressポリシーを設定した上で、Credential Vaultを介してAPIキーを注入します。サーバーを公開する前にserver.api_keyを設定してください。デフォルトではオープンです。
Claude CodeやCodex CLIを隔離環境で試用する開発者
コーディ ングエージェントに使い捨てコンテナ内でリポジトリの作業を行わせる
Docker上でuvx opensandbox-serverを実行してサーバーを起動し、Claude Codeの例に従います。最初のサンドボックスまでは数分で到達できますが、1台のノートPCで完結させる用途であればsrtのほうがはるかに少ないセットアップで対応できます。
導入前に確認すること
- 導入
- DockerおよびPython 3.10以上が必要です。uvx opensandbox-server init-config ~/.sandbox.toml --example dockerを実行し、uvx opensandbox-serverおよびpip install opensandboxを行います。Kubernetesではoperatorを使用し、Firecrackerには仮想化対応ノードが必要です。
- 連携
- Python、TypeScript、Java/Kotlin、C#/.NET、GoのSDK、osb CLI、sandbox、command、fileツールを備えたMCP server（pip install opensandbox-mcp）、およびClaude Code、Codex CLI、Playwright、Chrome、デスクトップ環境、Harbor向けのサンプルが用意されています。
- データとプライバシー
- Apache 2.0ライセンスのもと自社インフラ上で動作します。OpenTelemetryメトリクスのエクスポートは任意です。イメージは出所情報とともにCosignで署名されています。GitHub上で公開されたセキュリティアドバイザリはありません。
- 大規模利用時のコスト
- ソフトウェアは無料であり、費用はノードの費用となります。メンテナーのベンチマークでは、20スロットのFirecrackerプールを実行するために、各192 CPUと約742 GiBのメモリを搭載した2台のKubernetesノードが使用されました。
- 制限
- セキュアランタイム、ingress、egressには個別の設定が必要です。secureAccessエンドポイントの認証情報はKubernetes ingress gatewayでのみ機能します。並列数がプールサイズと一致した場合、作成の成功率は100回中51回に低下しました。
良い点
- ローカルのDockerからKubernetesクラスターまで同一のAPIを利用可能
- Firecracker、gVisor、Kataによる隔離に加え、一時停止と再開に対応
- Credential Vaultにより実際のシークレットをサンドボックス外に保持
- 5言語のSDK、CLI、MCP serverを提供
気になる点
- セキュアランタイムを設定しない限り通常のコンテナにとどまる
- APIキーが設定されていない場合サーバーが未認証で稼働
- 高速パスの速度数値はメンテナー自身による大規模ノードでの測定結果
- KubernetesとFirecrackerのセットアップには本格的な運用作業が必要
おすすめの人
自社のインフラ上でサンドボックスを運用したい、エージェント評価、強化学習ロールアウト、マルチテナントコード実行を行うプラットフォームチームに適しています。
OpenSandboxの代替
OpenSandbox：よくある質問
- OpenSandboxは使う価値があるか？
- ホスト型のコードサンドボックスに対するセルフホスト型の選択肢です。自社マシン上で短期間稼働するエージェント環境が数千単位で必要な場合、Kubernetesの運用作業に見合う価値があります。 評価は5点満点中4.1点です。
- OpenSandboxの料金は？
- Apache 2.0に基づく無料のオープンソースです。メンテナーからの有料版はありません。
- OpenSandboxの欠点は？
- セキュアランタイムを設定しない限り通常のコンテナにとどまる; APIキーが設定されていない場合サーバーが未認証で稼働; 高速パスの速度数値はメンテナー自身による大規模ノードでの測定結果; KubernetesとFirecrackerのセットアップには本格的な運用作業が必要.
- OpenSandboxは誰に向いているか？
- 自社のインフラ上でサンドボックスを運用したい、エージェント評価、強化学習ロールアウト、マルチテナントコード実行を行うプラットフォームチームに適しています。
- チームや本番環境でOpenSandboxを使うと費用はいくらか？
- ソフトウェアは無料であり、費用はノードの費用となります。メンテナーのベンチマークでは、20スロットのFirecrackerプールを実行するために、各192 CPUと約742 GiBのメモリを搭載した2台のKubernetesノードが使用されました。
- OpenSandboxは企業データを扱っても安全か？
- Apache 2.0ライセンスのもと自社インフラ上で動作します。OpenTelemetryメトリクスのエクスポートは任意です。イメージは出所情報とともにCosignで署名されています。GitHub上で公開されたセキュリティアドバイザリはありません。
- OpenSandboxの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はNVIDIA OpenShell 、 Anthropic Sandbox Runtime (srt)です。
回答確認日：2026年10月26日