AIサンドボックスにはKubernetesが必要—そして今こそ気にすべき理由
先月、AnthropicのMythosモデルが、セキュリティチームの誰もが背筋を伸ばさざるを得ないことをやってのけました。すなわち、主要なあらゆるOSとWebブラウザにまたがって、ゼロデイ脆弱性を自律的に発見し、悪用したのです。人間による27年以上の精査を生き延びた欠陥の話です。1つのモデル。1回の実行。ゲームオーバー。
もしこれで、封じ込め、隔離、そしてセキュリティ境界について即座に考えないなら、それはそういうことです。そして、AIシステムを構築しているなら—モデルをオーケストレーションしている場合でも、推論エンドポイントをデプロイしている場合でも、自律エージェントを動かしている場合でも—この瞬間に、サンドボックスを「オプション」として扱うのをやめるべきです。
朗報は？ Kubernetesが、AIサンドボックスの事実上の標準プラットフォームになりつつあることです。そして誰かに「そうしろ」と強制されたわけではありません。問題があまりに難しすぎて、Kubernetesに組み込まれた隔離、リソース制御、多テナントのための抽象化が、過剰設計ではなく「必須」に見えてきたからです。
すべてを変えた脆弱性危機
AIモデルがゼロデイを見つけることが、あなたのインフラにとってなぜ重要なのでしょうか？ それは、AIシステムがもはや、データベースの認証情報で囲い込めるような受動的なツールではなくなっているからです。
Mythosのようなモデルは、ネットワークアクセス、ファイルシステムの権限、そして場合によってはシェル実行権限を持って動作します。モデルは次のことができます：
- 体系的に（そして人間より速く）システムを調べる
- エクスプロイトを自律的に連鎖させる
- 疲れずに24/7で動作する
- 人間が見落とすパターンを見つける
Mythosが27年前のバグを見つけたとき、次の厳しい真実が露呈しました：隔離はかつてなく重要です。学習する脅威にはパッチで対処しきれません。できるのは封じ込めることだけです。
Kubernetesが答えである理由（偶然ではない）
KubernetesはAIワークロードのために設計されたわけではありません。しかし、そのアーキテクチャはサンドボックス問題にほぼ完璧に対応しています：
ネームスペース単位の隔離
各Kubernetesネームスペースがセキュリティドメインになります。モデルは独自のRBACルール、ネットワークポリシー、リソースクォータを持つ独自のネームスペース上で実行されます。侵害されたモデルは、別のアプリケーションへ逃げ出すことはできません。
Pod単位の封じ込め
Podは次を強制できます：
- CPU/メモリの制限 — サービス拒否（DoS）攻撃を防ぐ
- 読み取り専用のルートファイルシステム — 永続化メカニズムをブロックする
- セキュリティコンテキスト — 権限昇格を無効化する
- ネットワークポリシー — 承認済みエンドポイントへのエグレスを制限する
デフォルトでの可観測性
すべてのKubernetesクラスタには、組み込みのログ、メトリクス、監査トレイルがあります。モデルの挙動が想定外なら、すぐに分かります。これは、自律的な悪用の試みを検知する上で非常に価値があります。
apiVersion: v1
kind: Pod
metadata:
name: model-sandbox
spec:
containers:
- name: inference
image: mythos:v1
securityContext:
readOnlyRootFilesystem: true
runAsNonRoot: true
allowPrivilegeEscalation: false
capabilities:
drop:
- ALL
resources:
limits:
cpu: "2"
memory: "4Gi"
volumeMounts:
- name: tmp
mountPath: /tmp
volumes:
- name: tmp
emptyDir: {}
networkPolicy:
podSelector:
matchLabels:
role: model
policyTypes:
- Ingress
- Egress
三層防御
あなたのAIサンドボックス戦略は、次のようにあるべきです：
レイヤー1：クラスタセキュリティ
- モデルがシークレットを列挙できないようにするRBACポリシー
- ホワイトリスト化したAPIへのみアウトバウンド通信を許可するネットワークポリシー
- マウントによる権限昇格を防ぐ永続ボリュームのポリシー
レイヤー2：コンテナランタイム
- 信頼できないモデルを実行しているなら、より重い隔離としてgVisorまたはKata containersを使用する
- 最大限の精度のために、システムコールのフィルタリングが可能なランタイムを検討する
レイヤー3：アプリケーションレベルの統治（ガバナンス）
- モデルAPI呼び出しをレート制限する
- 異常なシステムコールを監視する
- 本番投入前にモデル挙動の検証を実装する
今週の月曜にやるべきこと
モデルのデプロイを監査する。 ルート権限で動いていませんか？ ファイルシステムに書き込めますか？ 内部APIに到達できますか？ これらのどれかへの答えが「はい」なら、問題があります。
いますぐリソース制限を設定する。 今日フルのサンドボックスを実装していないとしても、CPU/メモリのクォータを強制することで、暴走したモデルがクラスタを落とすのを防げます。
ネットワークポリシーを有効化する。 デフォルト拒否（deny）でエグレスを止めます。モデルに必要なサービスへの到達のみを許可してください。これはAIセキュリティにとって最大級の効果があり、実装に午後一杯もかかりません。
モデルファミリーごとに1つのネームスペースから始める。 これは過剰ではありません。Mythosで見えたものを踏まえれば、適切な慎重さです。
居心地の悪い真実
私たちは、スケールしたAIシステムの運用には、これまで多テナントのクラウドプラットフォームに限られていたようなインフラ思考が必要になる時代に入っています。Kubernetesはもはや、AIチーム向けのデプロイツールにとどまりません。あなたの「境界（パリメータ）」です。
モデルは賢くなっています。脆弱性はより深くなっています。そして、AIワークロードを隔離し可観測にできるプラットフォームこそが、夜も安心して眠れるでしょう。
あなたは現在、自分の環境でAIワークロードをどのように隔離していますか？ モデルのセキュリティをインフラのセキュリティとして扱い始めていますか？ それとも、まだ関係ないと期待しているだけですか？
返却形式: {"translated": "翻訳されたHTML"}Ref: https://www.cncf.io/blog/2026/04/30/ai-sandboxing-is-having-its-kubernetes-moment/
