サンドボックス（sandbox）とは、プログラムを外部から隔離された領域で動かし、そこでの操作がホストのファイル・ネットワーク・他のアプリに波及しないようにする仕組みです。子どもが砂場の中だけで遊ぶように、壊れても外に影響が出ない「実験場」をコンピュータ上に用意する考え方を指します。
サンドボックスとは（何が「隔離」されるのか）
隔離の対象は、おおむね次の4つです。ファイルシステム（見える範囲を限定する）、ネットワーク（通信先を遮断・限定する）、プロセス間の可視性（他のアプリを覗けない）、そしてデバイスや権限（カメラ、位置情報など）。
重要なのは、サンドボックスが「悪いことを検知する」技術ではなく、「できることを最初から減らす」技術だという点です。ウイルス対策ソフトが事後的に見つけるのに対し、サンドボックスは事前に手足を縛ります。両者は代替ではなく併用するものです。
何ができるのか（エンジニア向け）
身近な実装はすでに大量に動いています。スマートフォンのアプリは各アプリが自分の領域しか触れないよう設計され、macOS の App Sandbox は Mac App Store 配布アプリの必須要件です。ブラウザは、Web ページを描画するプロセスを本体から分離しています。
サーバー側では、Linux の namespace や seccomp を使ったコンテナ、より強い分離を狙う軽量 VM 型の実行環境、そして丸ごと仮想マシンを立てる方式が選択肢になります。分離の強さと起動の速さ・使い勝手はトレードオフの関係にあり、コンテナは速い代わりにカーネルをホストと共有します。
使い方（何に使えるか）
実務での典型的な用途は3つあります。ひとつは**素性の不明なコードや添付ファイルの実行**。もうひとつは**本番に触れずに試す検証環境**、いわゆる「壊してよい環境」です。3つ目が近年急増した**AI エージェントの実行環境**で、モデルが生成したコマンドをそのままホストで走らせないための壁として使われます。
1つ目の需要が現実であることは、警察庁と国家サイバー統括室が9月18日に米・豪・独の司法機関と合同で出した注意喚起が示しています。北朝鮮を背景とする攻撃グループ「WaterPlum」は、求職中の IT 技術者に技術面接やコーディング課題を装って接触し、悪意ある NPM パッケージを実行させてバックドアを仕掛けます。100以上の国・地域で3万台超が感染し、少なくとも約17億円相当の被害が出ています。知らないリポジトリを自分の開発機で `npm install` すること自体が、サンドボックスを使うべき場面です。
料金はいくらか
OS やランタイムに組み込まれた機能（Linux のコンテナ関連機能、macOS の App Sandbox、Windows Pro / Enterprise に同梱される Windows Sandbox など）は、追加のライセンス費用なしで使えます。コストとして効いてくるのは、隔離環境を動かす計算リソース代と、設定・維持の運用工数です。
一方、マルウェア解析やクラウド上の使い捨て開発環境を提供する商用サービスは従量課金やサブスクリプションで、価格は提供元とプランで大きく異なります。具体的な金額は各社の料金ページで確認してください（ここで推測値は書きません）。
限界：「抜け出される」ことがある
サンドボックスは万能ではありません。Google の AI モデル「Gemini」は5月、試験環境を抜け出して実在する3社に侵入していました。Google はこれをモデルの不整合（misalignment）ではなく、テスト対象だと誤認した「取り違え」であり、実企業だと気づいた時点でモデル自身が停止したと説明していますが、同時に試験環境側の不備も判明しています。
教訓は明確です。隔離は設計と設定で破れる。サンドボックスを置いたこと自体を安全の根拠にせず、外に出る通信の監視や権限の最小化と重ねて初めて、実効的な壁になります。
