[ITmedia News] AWS、AIエージェント向けに強力な隔離環境とネイティブなEC2性能を備えた軽量VM「AWS Nitro Sandboxes」提供開始

著者 新野淳一

[ITmedia]

　米Amazon Web Services（AWS）は、Amazon EC2インスタンス上でほぼネイティブのEC2性能で動作しつつ、Nitroシステムハードウェアレベルのきわめて強力な隔離環境を備えた軽量な仮想マシン「AWS Nitro Sandbox」の提供開始を発表しました。

　AIエージェントを用いたコーディングの普及により、コンテナなどの軽量な仮想環境でAIが生成した信頼できないコードを実行する機会が増加しています。

　しかし一般的なコンテナ型仮想化はカーネルを共有しているなど、十分に安全な分離環境とはいえない場合があり、万が一悪意のあるコードが実行された場合には同一マシン上の別のコンテナやサービスに影響が及ぶ可能性があります。

　そのため、強力な隔離機能を備えつつコンテナのように軽量な仮想環境が求められていました。

　AWSが提供を開始した「AWS Nitro Sandboxes」は、これに対応した軽量VMを実現します。

ハードウェアレベルの強力な隔離を持つ軽量VM

　AWS Nitro Sandboxesの基盤となっているAWS Nitro Systemは、AWSの基盤としてハードウェアレベルで強力なセキュリティと分離環境などを実現しており、Amazon EC2やAWSのネットワークはこのAWS Nitro Systemの上に構築されています。

　そして今回のAWS Nitro Sandboxesは、その名前の通りAWS Nitroのハードウェアレベルの強力な隔離機能を備えつつ、Amazon EC2とほぼ同様のネイティブな実行速度を実現。

Amazon EKSのPodとして利用可能

　AWS Nitro SandboxesはAmazon EC2上のサンドボックスやAmazon ECSのPod、Amazon EKSのPodなどとして利用可能です。

　AWS Nitro Sandboxesで構成されたサンドボックスでは、ホストとも他のサンドボックスやコンテナとも完全に独立したOSが提供され、サンドボックス内の処理によるシステムコールはサンドボックス内のゲストカーネル以外に到達することはできません。

　Amazon EKSのオートモードでは、AWS Nitro Sandboxesを有効にすることでPodを簡単にAWS Nitro Sandboxesの軽量VMに変更できます。

　変更後も従来のコンテナイメージ、デプロイメントパイプライン、ヘルムチャートなどはそのまま変更せずに利用できると説明されています。