今週の新着：AIエージェントをはみ出させないための裏方の仕組み

エージェントがコードを書き、ウェブページを開き、データベースに問い合わせられるようになると、モデルよりも2つの地味な問いのほうが重要になります。何に触れてよいのか、そして何をしたのかが見えるのか、です。10月31日と11月1日にレビューした8つのツールは、それぞれ違う側からこの問いに答えます。サンドボックス、機械のために作られたブラウザ、エージェントごとのブランチ、スキルのスキャナー、慎重なデータベース接続、そしてモデルが返すものを記録し、評価し、型を付ける3つの方法です。どれも華やかではありません。それぞれが、エージェントの実行がうまくいかなくなる特定の原因を取り除きます。

安全に動かせる場所

コードを書くエージェントは、そのコードを実行できて初めて役に立ちます。E2B（4.4）は、セッションごとに使い捨てのLinuxコンピューターを貸し出します。それぞれが独自のカーネルを持つ小さな仮想マシンであるFirecrackerのmicroVMで、メモリとディスクを保ったまま一時停止できます。2 vCPUと4 GiBの標準のマシンは1時間あたり約0.17ドルで秒単位の課金、無料のHobbyプランには一度きりの100ドル分のクレジットが付きます。

注意点：初期設定は利便性寄りです。すべてのサンドボックスは外向きのインターネット接続を持ち、公開URLは制限するまで、リンクを知っている誰にでも応答します。GPUはありません。

ブラウジングするエージェントの多くは、ページを見る必要はなく、JavaScriptを実行して結果を読めれば十分です。Lightpanda（4.2）は、Zigで一から書かれたヘッドレスブラウザで、ピクセルを描く部分を省き、Chromeと同じDevTools Protocolを話します。そのため既存のPuppeteerやPlaywrightのスクリプトは、たいてい接続先を変えるだけで済みます。プロジェクト自身のベンチマークでは、100ページでのピーク時のメモリはヘッドレスChromeの2 GBに対して123 MBでした。これは自己申告のページ読み込みの数字で、長いクリック操作のセッションではありませんが、その差の一部だけでも、マシン1台あたりで動かせるエージェントがずっと増えることになります。

注意点：まだ若いエンジンです。Lightpandaが未実装のウェブ機能に頼るサイトは、Chromeなら問題がなくても失敗するので、そうした例外のためにChromeのプールを残しておいてください。テレメトリーはLIGHTPANDA_DISABLE_TELEMETRY=trueを設定するまでオンです。

触れられるものに制限をかける

1つのリポジトリで5つのコーディングエージェントを動かすと、2つが同じファイルを編集した瞬間に問題が起きます。git worktreeは各エージェントに専用のフォルダを与えてこれを解決しますが、git自体のコマンドではブランチ名を3回入力させられます。Worktrunk（4.4）はworktreeをブランチのように扱えるようにします。1つのwtコマンドでブランチとフォルダを作り、その中でエージェントを起動します。APFS、btrfs、XFSではnode_modulesとtarget/をworktree間で共有するので、エージェントが10個あっても10回一からビルドすることにはなりません。無料で、GitHubのスターは約9,700です。

注意点：管理するのはフォルダであって、エージェントではありません。並行するブランチ間のマージの衝突は引き続きあなたの仕事で、バージョン0.81なので、フラグや設定はまだ変わる可能性があります。

エージェントスキルは、Claude CodeやCodexに入れる指示とスクリプトのフォルダで、悪質なものは指示を隠したり、キーをどこかに送ったりします。NVIDIAのSkillSpector（4.1）は、インストール前にスキルを一度も実行せずに、17カテゴリー71のパターンと照らし合わせて詳しく読み、0から100のリスクスコアと、SAFE、CAUTION、DO NOT INSTALLというはっきりした推奨を返します。

注意点：任意のAIレビューの段階が初期設定でオンになっており、プロバイダーを変えるか--no-llmを渡さない限り、スキルのファイルをbuild.nvidia.comに送ります。NVIDIAは検出率も誤検知率も公表しておらず、初期設定の終了コードではCAUTIONの結果が通ってしまうため、厳格なゲートには--fail-on-findingsが必要です。

乗っ取られた指示が最も大きな被害を出すのは、データベース接続です。Microsoftのプレビュー版Postgres MCPサーバー（4.0）は、Azureに限らずどのPostgreSQLとも使え、パスワードをエージェントの設定ファイルではなくOSのキーリングに保存し、読み取りと書き込みを分けています。クエリツールは一度に1つの読み取り専用の文しか受け付けず、読み取り専用に設定したプロファイルでは書き込みツールが使えません。ドキュメントは「ポリシーエンジンではなくゲートウェイ」だと率直に書いており、データベースのロールでできることはエージェントにもできます。パッケージは10月29日までの1週間で27,344回npmからダウンロードされました。

注意点：新しいプロファイルは読み取り専用に設定しない限り書き込みを許可し、v0.2.0でツール名が変わり、テレメトリーは--no-telemetryを渡すまでオンです。

起きたことの記録と、信頼できる出力

エージェントがまずい答えを返したとき、最初にほしいのは経緯です。どのプロンプトで、どの検索で、どのツール呼び出しだったのかです。長らく機械学習の実験を記録する定番だったMLflow（4.4）は、今ではモデルの呼び出し、検索、ツール呼び出しをそれぞれトレースとして記録し、OpenAI、Anthropic、LangChainなどには1行の設定で対応します。Apache-2.0のコードベース全体が無料で、有料ライセンスのために取っておかれた機能はなく、GitHubのスターは約28,600、1つのSQLiteファイルから始められます。

注意点：サーバーはベーシック認証を付けて起動しない限りログインを求めず、10月には、そのまま公開されたサーバーで攻撃者がコードを実行できる深刻な脆弱性がありました。3.17.0で修正されていますが、それでも共有ネットワーク上でサーバーを開けたままにしないでください。

トレースがすでにLangfuseにあるなら、その組み込みのMCPサーバー（4.2）でエージェントに読ませられます。インストールするものはなく、プロンプト、トレース、データセット、スコア、ダッシュボードにわたる約95のツールがあります。

注意点：レート制限です。無料のHobbyプランでは、MCPの呼び出しは組織内の他のすべてのAPI呼び出しと1分あたり30リクエストを共有するため、トレースをめくっていくエージェントは1つの質問で止まってしまうことがあります。ツールの約半分は変更を伴うもので、データセットの実行を削除するものや、本番のラベルを別のプロンプトのバージョンに移すものも含まれます。読むだけでよいなら、読み取りのツールだけを許可してください。

エージェントが最もよく壊れるのは、モデルの返答がきれいなJSONであるはずなのにそうなっていない継ぎ目です。BAML（3.8）では、関数の入力、出力の型、プロンプトを.bamlファイルに宣言すると、アプリ用のクライアントが生成され、末尾のカンマや書きかけのオブジェクトを拒否せずに修復します。Berkeley Function Calling Leaderboardの1,000件を使ったBoundary自身のベンチマークでは、gpt-4o-miniはBAMLのパーサーで92.4%、ネイティブの関数呼び出しで19.8%でした。数字は自己申告で、2024年ごろのモデルを使っています。

注意点：プロジェクトは従来のv0と、まだ1.0前の新しいv1の言語に分かれており、v1の0.21.0のリリースノートだけで13件の互換性のない変更が並んでいます。v0のパイプラインが動いているチームにはまだ移る理由はほとんどなく、新しいプロジェクトは数週間ごとに変わる言語に賭けることになります。

どこから始めるか

これらのレビューには3つの習慣が通っています。第一に、初期設定は開いています。公開されたサンドボックスのURL、書き込み権限、ログインのないサーバー、オンのテレメトリーです。何よりも先に10分かけてそれらを閉じてください。今年のMLflowの最悪のアドバイザリが襲ったのは、まさにログインなしで放置されたサーバーでした。第二に、最も安い安全策は分離です。エージェントごとに1つのサンドボックス、worktree、読み取り専用のプロファイルを用意することで、費用はほとんどかからず、1回のまずい実行で壊れる範囲を限定できます。第三に、必要になる前に記録してください。先週オンにしたトレースは、後からの念入りな調査に勝ります。そしてMLflowなら小さなサーバー1台分の費用でそれを保存できます。