企業が雇用するすべての従業員、それが人であれプログラムであれ、誰かが築き上げた基盤の上に成り立っており、それはあなたのチームに新しく加わった従業員も例外ではありません。この新入社員は入社した瞬間から仕事に取り掛かり、貴社が既に導入しているシステムを活用して開発を進めており、そのスピードはレビューが追いつかないほどです。さらに、彼らが製造するすべての製品はあなたの名前で販売されます。もしそれが人間だったら、最初の1週間は物がどこにあるのか、誰が何を維持管理しているのかを尋ねることに費やすだろう。この人は決して尋ねない。それは見つけたもの全てを信頼できるものとして扱うため、それが構築するもの全てに、その検証されていない信頼が受け継がれる。そして、この新入社員は機械並みの処理能力で夜通し働くエージェントであるため、これまで徐々に表面化していた根本的な問題が一気に顕在化するようになった。

誰も監査しなかった財団

サプライチェーン攻撃とAI攻撃の境界線はもはや存在しない。平均的な財団がどのような資金を保有しているかを見てみましょう。そのほとんどは社外からの寄付によるものです。長らく、公開されているベースイメージには、アプリケーションが決して使用しない数百ものパッケージが含まれています。これらのパッケージはすべて、攻撃対象領域を拡大させる。それらのコードはほとんどレビューされることがない。なぜなら、どのチームも自分たちが選択も使用もしていないコードを読む時間がないからだ。ほとんどのシステム構成では、10年前のJavaサービスのようなものが、何年も前に保守担当者がパッチ適用を停止したソフトウェア上で、ビジネスをかろうじて稼働させている。プラットフォームチームはそれぞれ独自の方法で対応してきたが、通常は数年前に誰かが作成したゴールデンイメージプログラムと、それをスキャンするスキャナーを使っていた。下にある画像が非常に肥大化しているため、そのスキャナーは週に約400回もエラーを発する。こうした理由が全て合わさって、監査シーズンが今や四半期の大半を占めるようになったのです。

攻撃者たちはこれらすべてを知っており、一年を通して基盤となる層の構築に取り組んできた。彼らはパッケージや開発者ツールにマルウェアを仕込み、コーディングアシスタントの認証情報を大規模に収集することに実際に成功している。ほとんどの基礎は、もはや存在しない世界のために築かれたものだ。

良い土台を作るには

幸いなことに、これらの問題はどれも解決不可能ではない。土台を強化することで、その上に建設されるものを支えられるようになる。いくつかの要件を満たす必要があり、それぞれの要件は誰がセキュリティ作業を行うかによって異なります。なぜなら、ベンダーが対応しない場合、あなたのチームがその不足分を補うことになるからです。土台がしっかりとしたものとなるのは、そのすべての部分が、作品に署名し、それを支える人物によって、素材から丁寧に作られている場合である。アプリケーションに不要なものは一切出荷すべきではありません。余分なものはすべて、後々の防御対象を増やすことになるからです。パッチ適用も同様に重要です。なぜなら、どんなにクリーンなイメージから始めても、新たな脆弱性は次々と発生するからです。解決策には契約上の裏付けと期日が伴うべきである。出荷当日には、すべての画像の内容を正確に把握できるべきです。そして、これらのどれも、より安全なイメージを入手するためだけに、スタックを別のディストリビューションに移行させる必要性をあなたに強いるものではありません。そのような移転はそれ自体が四半期にわたるプロジェクトとなり、財団は移転が完了するまで何も保護することができない。

これこそまさに、 Dockerの強化イメージが作られた目的です。これらは、各チームが既に運用しているAlpineおよびDebianイメージとの互換性を維持しているため、導入はDockerfileのFROM行を1行変更するだけで済み、移行プロジェクトは不要です。95イメージは設計上最小限に抑えられており、アプリケーションに必要なものだけが含まれているため、攻撃対象領域が最大で2%削減され、初日からクリティカルおよび高レベルのCVEがほぼゼロになります。その違いはスキャンすればすぐにわかる。ノイズが少ないほどスキャンははるかに速く完了し、残ったわずかな所見はチームの注意を向ける価値がある。CVEが公開された場合、修正済みのイメージは上流の修正から7日以内に利用可能になり、かつてはエンジニアリングのスプリント時間を要していた作業がプルリクエストとして完了する。同様の証拠は、ほとんどの組織がいずれ直面することになる監査にも適用される。強化されたイメージにはすべて、署名済みのSBOM（ソフトウェア部品表）とビルド履歴（イメージの内容とビルドプロセスを検証可能な記録）が付属します。監査担当者には既に存在する証拠を提示すればよく、誰もそれを再構築するために何週間も費やす必要はありません。

さらに、強化されたベースイメージだけでは不十分な場合があり、最小限のイメージは、生産ワークフローに適合させる前に、ほぼ必ずカスタマイズが必要となる。チームは独自のCA証明書や初期化スクリプトを追加したり、aptやapkを介して追加のシステムパッケージをインストールしたり、ベースイメージでカバーできない部分をカバーするために全く別の製品を採用したりすることで、基盤を複数のベンダーに分散させてしまう。こうした点が、強固な基盤が崩壊する典型的な原因です。なぜなら、画像をカスタマイズすると、出所情報や部品表（SBOM）が無効になり、それによって支払った保証も失われてしまうからです。Dockerではそうはいきません。

強化されたシステムパッケージは、追加するすべての要素をソースコードから構築されたものと同様の扱いにし、カスタマイズが同じ強化されたパイプラインを通して実行されることを保証し、SLA（サービスレベル契約）による保証を維持します。Dockerを使えば、基盤全体が単一のエコシステム内に収まります。

これらすべてをどれだけうまくやったとしても、一つだけ避けられないことがある。あなたが依存しているソフトウェアは、いずれは上流でのサポートが終了し、サポートがなくなるとセキュリティパッチの提供が停止し、コンプライアンスへの対応は四半期ごとにますます困難になります。拡張ライフサイクルサポートは、サポート終了後最大5年間、商用サポート付きのパッチを提供することで、そのギャップを埋めます。そのため、次の製品への移行は、上流側の都合ではなく、お客様のスケジュールと条件で行われます。これこそが強固な基盤の姿であり、今ほどそれが重要になったことはありません。なぜなら、あなたの最新の従業員であるエージェントは、それまでの全員が築き上げてきたものをストレステストしているからです。

新しいレイヤー

エージェントは、これまで全ての人類がそうしてきたように、この基盤の上に構築していく。そして、その基盤が持つ信頼は、彼らが構築するものへと受け継がれていく。しかし、今は新たな現実が到来した。エージェントは上に新たな層を作り出しており、それは土台そのものとほぼ同じくらい重要である。彼らは基盤からパッケージを取り出し、ツールを配線で接続し、構築したものが完成次第すぐに実行に移す。それらはまた、非決定論的で、一時的なものである。同じタスクでも実行ごとに結果が異なり、誰かが質問するために戻ってくる頃には、作業を行ったエージェントセッションは既に存在しない。

標準スタックに含まれるすべての制御機能は、永続的な身元と予測可能なペースを持ち、出荷前に作業内容を確認できる人間の作業者を想定して設計されている。エージェントにはそういった特性は一切ない。市場の最初の対応は、エージェントが何らかの行動を起こす前に人間の許可を求めることだったが、その手続きが煩雑になりすぎると、チームはエージェントを隔離する方向に移行した。それによって新たなギャップが生じた。なぜなら、作業を監視するためのエンドポイントツールはホスト上に存在し、エージェントを隔離すればするほど、それらのツールが監視できる範囲が狭くなるからだ。このようなワークフローに対応した制御インターフェースはこれまで存在せず、古い部品を後付けしても、チームは迅速な対応の疲労と盲点の間で立ち往生してしまう。

そこでDockerは、これまで存在しなかったレイヤーを構築しました。これは、既存のシステムを置き換えることなく、多層防御を強化するものです。Dockerでは、すべてのエージェントセッションは、使い捨てのMicroVMベースのDockerサンドボックス内で実行されます。サンドボックスは、オペレーティングシステムレベルでエージェントをホストから隔離します。認証情報は、処理対象のタスクのためにプロキシ経由で渡され、内部に保存されることはありません。また、ボックスに出入りするデータはユーザーが決定します。当社のセキュリティチームは、ホスト上でのコーディングエージェントを完全にブロックし、サンドボックス内で複数のエージェントを同時に、完全な自律性を持って実行させています。それらの箱の中に潜り込んだ情報窃盗犯は、盗むべきものを見つけられない。いわば、安全対策付きのYOLOモードとでも呼ぼうか。

エージェントが利用するツールは、同じ基盤の上に構築された次の層である。エージェントは、MCP（モデルコンテキストプロトコル）サーバーやコネクタを介して外部世界とやり取りします。これらのコネクタにより、エージェントは外部ツールを呼び出し、データにアクセスすることができます。エージェントがオープンインターネットからコネクタを取得するというのは、まさにパッケージ問題の再来だ。そのため、Dockerは強化されたMCPサーバーを、強化されたイメージと同じカタログを通じて、同じ方法で構築および署名して出荷します。MCPカタログとツールキットは、チームがそれらを検索して実行するための信頼できる場所を提供します。すべてのツール呼び出しはMCPゲートウェイを経由し、そこで認証、認可、ログ記録が行われてから外部システムに到達します。これにより、規制は勧告的なものから厳格なものへと変わる。 

Docker Scoutはビルド時にポリシーを適用するため、安全なパスがデフォルトとして維持され、手動で監視する必要はありません。そして、その箱がどこにあるのか、それがノートパソコンであろうとクラウドであろうと、もはや問題ではなくなる。なぜなら、境界は作業とともに移動するからだ。Dockerコンテナは常にそうであったように。

勝利の戦略は既に存在する

Dockerが最初にこのプレイブックを作成しました。20102000年代には、ソフトウェアは開発者が制御できない部分を取り込み、出荷ペースがレビューのペースを上回った。速度を落とすことは決して選択肢になかったので、Dockerはアプリケーションとその依存関係を1つのポータブルで独立したユニットにパッケージ化し、速度と安全性が同じ方向に向かうようになった。その賭けこそが、現代のソフトウェアサプライチェーンが形成される上で大きな役割を果たしており、今、私たちはエージェント向けにも同じ賭けをしているのです。同一の基盤と境界が、同一のサプライチェーン上の人々や代理店に対し、同一のポリシーの下でサービスを提供する。治安は安定し、開発は加速する。別途購入する必要のあるAIセキュリティプログラムはありません。Dockerは当初から、セキュリティは開発者エクスペリエンスの問題であると主張してきた。

サンノゼで生で観よう

私たちはそれらすべてを、9月23から25にサンノゼで開催されるWeAreDevelopers世界会議に持ち込みます。DockerのCISOであるマーク・レヒナー氏が、「エージェント時代の1つの境界」と題した講演で登壇し、彼自身のチームが活動する境界について語ります。また、Docker Zoneでは3日間を通してライブデモが実施されます。

いずれにせよ、新入社員は月曜日から勤務開始となる。彼らが発展させていくための土台として、あなたは何を用意していますか？