Cloudflare Sandbox SDK、WorkersとDurable ObjectsでAI agentの実行を隔離する

edgeで実行するAI agent

Cloudflare Sandbox SDKは、untrusted codeをWorkerから隔離containerへ送るためのAPIとして設計された。

command、file、process、preview URLを一つのSDKにまとめ、AI agentの実行をapplication requestから切り離す。出典

WorkersとDurable Objectsで状態を持つ

architectureは三層で、WorkerがSDKを呼び、Durable Objectがsandbox identityとroutingを管理し、containerがLinux環境でcodeを実行する。

同じsandbox IDは同じinstanceへ戻るため、単発jobだけでなくstatefulなworkspaceを扱える。出典

隔離だけでは完結しない

各sandboxはVM単位でfilesystem、process、networkが隔離される一方、同じsandbox内のprocessはresourceを共有する。

公式はuserごとに別sandboxを作り、input validationとapplication authenticationを実装するよう求めている。出典

edge runtimeの制約を設計へ戻す

HTTP transportではSDK operationごとにWorker subrequestを消費する。

高頻度のagent workflowにはWebSocket transportでconnectionをmultiplexする設計がある。出典

Cloudflare Sandbox SDKは、agent実行を新しい外部serviceとして買わせるより、Workersのstateful edge runtimeをcode executionまで拡張する選択だと言える。

Cloudflare WorkersでAI agentやユーザー生成コードを扱う開発者向けに、command実行、file操作、background process、preview URLを隔離containerへまとめる。出典

WorkerからSDKで呼び、Durable Objectがsandbox identityとstateを持つため、edge appにcode executionを追加しやすい。出典

Cloudflareのedge Worker、Durable Object、Container、R2/Workers AIと接続される点が強みである。

sandbox単体ではなく、request routingとstate coordinationを含むruntimeとして埋め込まれる。出典

直接network effectは弱い。

sandboxは利用者やsessionごとに隔離される。

一方でWorkers ecosystem、GitHub SDK、tutorial、Container imageの知見が増えるほど導入と運用の学習コストは下がる。出典

WorkersでAI code execution、interactive development environment、data analysis、CI/CDを作る開発者。出典

特にglobal edge routingとstateful sessionを同じCloudflare stackで持ちたいチームに向く。出典

Workers、Durable Objects、Containersを一体化し、sandboxごとのstateful identityとVM isolationを提供する。

agentが多段のfile操作を行う場合はWebSocket transportでsubrequestを抑える選択肢もある。出典 出典

Workers AIとのcode interpreter例を持ち、AI推論と実行を同じnetworkへ寄せる導線がある。出典

Sandbox SDKはWorkers Paid plan前提で、Containers、Workers、Durable Objects、Logsの複合的な利用料金を設計する必要がある。出典

VM隔離でも、同一sandbox内のprocess・filesystemは共有される。

利用者ごとのsandbox ID、input validation、application-level authentication、rate limitは顧客実装の責任として残る。出典

CloudflareはWorkersの既存利用者へDocs、template、Workers AI tutorialでSandboxを配る。

既存Workerのrequest pathに安全な実行環境を加えられることが導入入口になる。出典

小規模なcode interpreterから、cloud IDE、CI/CD、agent workflowへ使途を広げ、ContainersとDurable Objectsの消費増につなげる構造と考えられる。出典

主要チャネル: developer_relations, documentation, open_source, platform_distribution

agent runtimeは隔離VMの有無だけで比較しない。

identity、state、network egress、secret proxy、preview URL、subrequest上限まで含めて設計すべきだ。

AI agentへshellを渡すなら、利用者境界ごとにsandboxを分け、認証とinput validationをproduct requirementとして持つ必要がある。出典

日本の企業向けagentでは、Cloudflare Workerのauthを入口にし、sandbox IDをtenant/user単位で固定する設計が実装しやすい。

preview URLはURL自体がアクセス手段になり得るため、公開範囲と失効手順を決める。

まずは非機密のdata transformationやcode interpreterから始め、Workers Paid planのsubrequest、container resource、egressを実測して予算上限を作るべきだ。出典