Claude CodeやCodexのように、AIにパソコンを操作させるツールを使い始めると、「サンドボックス」という言葉をよく目にするようになります。なんとなく「安全そうなもの」とは分かっても、何がどう守られているのかは分かりにくいですよね。
当記事では、サンドボックスとは何か、AIツールでどのように使われているのか、使うとどんなメリットがあるのかを、AI初心者向けにわかりやすく解説します。
サンドボックスとは？「砂場」のように囲いの中でプログラムを動かす仕組み
サンドボックスの意味
サンドボックス（sandbox）は、英語で「砂場」という意味です。公園の砂場では、子どもが砂をどれだけ掘ったり散らかしたりしても、砂は木の枠の中に収まり、まわりの道路や花壇は汚れません。
ITの世界のサンドボックスもこれと同じ考え方で、プログラムを囲いの中で動かし、囲いの外にあるファイルやネットワークに勝手に手を出せないようにする仕組みのことです。もしプログラムに問題があったり、悪い人に乗っ取られたりしても、被害を囲いの中に閉じ込められます。
| 砂場 | ITのサンドボックス |
|---|---|
| 子ども | プログラム（アプリ・AIが実行するコマンドなど） |
| 砂場の枠 | OS（パソコンやスマホの基本ソフト）が作る囲い |
| 枠の中の砂 | プログラムが自由に使ってよいファイル・フォルダ |
| 枠の外の道路や花壇 | 大事なファイル、ほかのアプリのデータ、インターネット |
※編集部によるたとえ
実はスマホやブラウザでも毎日使われている
サンドボックスは、AIのために生まれた特別なものではありません。私たちが毎日使っているスマホやブラウザにも入っています。
- iPhone：Appleの公式資料によると、他社製のアプリはすべてサンドボックス化され、ほかのアプリが保存した情報を集めたり変えたりできないようになっています。アプリごとに専用の保存場所（ホームディレクトリ）が割り当てられます
- Android：Googleの公式資料によると、アプリごとに別々のユーザーID（UID）を割り当て、OSの中心部分（カーネル）のレベルでアプリ同士を分けています。初期状態ではアプリ同士は直接やり取りできません
- ブラウザ（Chrome）：ChromeのもとになっているオープンソースのChromiumでは、Webページを表示する部分（レンダラー）を、権限をしぼったサンドボックスの中で動かしています。設計文書では、サンドボックスの中のコードは悪意があるものとして扱う、という考え方が示されています
怪しいアプリを入れたり、危ないWebページを開いたりしても、パソコンやスマホ全体が乗っ取られにくい理由の1つは、こうしたサンドボックスが裏で働いていることです。
>>Apple公式「iOS、iPadOS、およびvisionOSでのランタイムプロセスのセキュリティ」
>>Android公式「Application Sandbox」（英語）
AIでサンドボックスが大事な理由は？コマンドの実行とプロンプトインジェクション
AIは「話す」だけでなく「手を動かす」ようになった
少し前までのAIは、質問に文章で答えるだけでした。ところが、Claude CodeやCodexのようなツールは、パソコンの中でファイルを書き換えたり、コマンド（パソコンへの命令文）を実行したりして、作業そのものを進めてくれます。
便利な反面、AIが間違ったコマンドを実行すると、関係のないファイルを消したり書き換えたりするおそれがあります。AIに手を動かさせるなら、その手が届く範囲を決めておくことが大切です。
プロンプトインジェクションで乗っ取られても被害を閉じ込める
もう1つの心配が、プロンプトインジェクションです。これは、Webページやファイルの中にAIへの指示をこっそり紛れ込ませて、AIを操ろうとする攻撃です。Anthropicの公式ヘルプでも、悪意のある人が外部のファイルやWebサイトに目立たないように指示を加え、AIに信頼できないコードを実行させたり、情報を外に送らせたりするおそれがあると注意しています。
サンドボックスがあれば、たとえAIがだまされて悪いコマンドを実行しても、囲いの外のファイルや、許可していない送り先には届きにくくなります。AIの「判断」に頼るのではなく、OSが作る「囲い」で守る点が、サンドボックスの強みです。
▶ 関連記事：プロンプトインジェクション対策は「手」を縛る！Claude Code・Codexの守り方
Claude Code・Codex・ChatGPTではどう使われている？
主なAIツールのサンドボックスを、公式の説明をもとに整理すると次の通りです（2026年11月1日時点）。
| ツール | 動く場所 | サンドボックスの中身 |
|---|---|---|
| Claude Code | 自分のパソコン | AIが実行するコマンドの、ファイルとネットワークをOSの仕組みで制限。初期状態はオフ |
| Codex（自分のパソコン） | 自分のパソコン | 読み取りだけ／作業フォルダ内は書き込みOK／制限なし、から選ぶ |
| Claudeのファイル作成 | クラウド | 隔離されたコンテナ（箱）の中でコードを実行 |
| ChatGPTのデータ分析 | クラウド | Pythonの環境から外部のWebやAPIにはアクセスできない |
※2026年11月1日時点・各社の公式ドキュメント・公式ヘルプより編集部が整理
Claude Codeのサンドボックス
Claude Code公式ドキュメントによると、Claude Codeのサンドボックスは、Claudeが実行するシェルコマンド（ターミナルのコマンド）のまわりに、OSが囲いを作る仕組みです。macOSでは標準の「Seatbelt」、LinuxとWSL2では「bubblewrap」という仕組みを使います。Windowsでそのまま使う場合はサンドボックスが効かないため、WSL2の中でClaude Codeを動かすよう案内されています。
サンドボックスがオンのとき、コマンドが書き込めるのは、作業フォルダ・一時フォルダ・自分で追加したフォルダだけです。インターネットへの接続は、パソコンの中の中継役（プロキシ）を必ず通り、許可したドメイン（接続先）以外には確認なしではつながりません。許可ドメインは最初は空っぽです。一方で、読み取りは初期状態でパソコンの大部分が対象のままで、認証情報のファイルも含まれる点には注意が必要です。
>>Claude Code公式ドキュメント「サンドボックス化された Bash ツールを設定する」
Codexのサンドボックス
OpenAIのCodex公式ドキュメントでは、サンドボックスを「マシンへの無制限のアクセスを与えずに、エージェントが自分で作業を進められるようにする境界」と説明しています（編集部訳）。ChatGPTのデスクトップアプリ、Codex CLI、IDE（コードを書くためのアプリ）の拡張機能で、AIがコマンドを実行するときは、初期状態でこの囲いの中で動きます。サンドボックスの強さは、次の3段階から選びます。
| モード | できること |
|---|---|
| read-only（読み取りだけ） | ファイルを読める。承認なしでは編集もコマンドの実行もできない |
| workspace-write（作業フォルダ内の書き込み） | 作業フォルダの中で編集や、ふだんのコマンドの実行ができる |
| フルアクセス | サンドボックスの制限なし。ファイルとネットワークの境界がなくなる |
※2026年11月1日時点・Codex公式ドキュメント「Sandbox」「Agent approvals & security」より編集部が整理
公式ドキュメントによると、作業フォルダ内の書き込みモードでも、インターネットへの接続は初期状態でオフです。また、サンドボックス（何ができるか）と、承認のルール（いつ人に確認するか）は別の仕組みで、組み合わせて使うと説明されています。
ChatGPT・Claudeのコード実行は「クラウドの隔離環境」
ChatGPTやClaudeのアプリで、AIがグラフを作ったりファイルを作ったりするときも、コードは自分のパソコンではなく、クラウド（各社のサーバー）側の環境で動いています。
- Claude：公式ヘルプによると、コードの実行やファイルの作成は、隔離されたサンドボックスのコンテナの中で行われます。ネットワークへのアクセスをオフにすれば、何か問題が起きてもデータがサンドボックスの外に出るのを防げると説明されています（MCPでつないだサービスは別）
- ChatGPT：公式ヘルプによると、データ分析に使われるPythonの環境では、外部のWebリクエストやAPIの呼び出しはできません
- Codexのクラウド版：公式ドキュメントによると、作業ごとに隔離された作業環境が用意され、インターネットにどこまでつなぐかは環境の設定で決めます
自分のパソコンとは切り離された場所で動くので、アップロードしたファイルや接続したサービスを除けば、パソコンの中のファイルが直接さわられることはありません。これも広い意味でのサンドボックスです。
>>Claude公式ヘルプ「Create and edit files with Claude」（英語）
>>OpenAI公式ヘルプ「ChatGPT によるデータ分析」
サンドボックスの使い方、Claude CodeとCodexでの始め方
Claude Codeで始める3ステップ
Claude Codeのサンドボックスは初期状態ではオフなので、自分でオンにします。公式ドキュメントの手順は次の通りです。
- Claude Codeを起動し、入力欄に「/sandbox」と入力して実行する（サンドボックスの設定画面が開く）
- 「Mode」タブで、サンドボックスの中のコマンドを確認なしで実行する「auto-allow」か、これまで通り1つずつ確認する「regular permissions」を選ぶ
- いつも通り、ビルドやテストなどのコマンドをClaudeに頼む。新しい接続先が初めて必要になったときは、許可するかどうかの確認が出る
macOSは追加のインストールなしで使えます。LinuxとWSL2では「bubblewrap」と「socat」という部品が必要で、足りないときは「/sandbox」の画面に表示されます。
画面で選んだモードは、そのプロジェクトだけに効く設定として保存されます。すべてのプロジェクトでオンにしたい場合は、自分のユーザー設定ファイルで有効にするよう案内されています。
▶ 関連記事：Claude Codeの権限設定を見直そう！溜まった許可の点検とdenyの書き方
Codexでモードを選ぶ
Codex公式ドキュメントによると、ChatGPTのデスクトップアプリとIDEの拡張機能では、入力欄の下にある権限のメニューから「Ask for approval」「Approve for me」「Full access」などを選べます。Codex CLIでは、作業中に「/permissions」と入力して切り替えます。
公式ドキュメントでは、Git（変更の履歴を残す仕組み）で管理しているフォルダでは「作業フォルダ内は書き込みOK＋必要なときだけ確認」の組み合わせ、管理していないフォルダでは読み取りだけ、がすすめられています。迷ったら、その作業を進められる一番せまい範囲を選ぶのが基本です。
>>Codex公式ドキュメント「Agent approvals & security」（英語）
▶ 関連記事：Codexのセキュリティ設定、信頼していないフォルダでは効かない？落とし穴と点検方法
サンドボックスのメリットと限界、万能ではない点に注意
メリット1：確認の「はい」を押す回数が減る
AIがコマンドを実行するたびに確認画面が出ると、だんだん中身を読まずに「はい」を押してしまいがちです。Codexの公式ドキュメントは、サンドボックスの効果としてこの「承認疲れ」を減らせることを挙げています。Claude Codeの公式ドキュメントも、サンドボックスの中のコマンドは1つずつ承認を求めずに実行できると説明しています。囲いの中の作業は確認なしで進め、囲いの外に出るときだけ確認する、という使い分けができます。
メリット2：だまされても被害を小さくできる
Claude Codeの公式ドキュメントによると、サンドボックスの囲いはOSが実行中のプログラムにかけるものなので、AIが何を実行しようとしても、また許可したコマンドが名前から想像される以上のことをしても、囲いは保たれます。AIの判断がまちがっても、OSの囲いが最後の守りになるというのが、確認画面だけで守るのとの大きな違いです。
限界：囲いの外で動くもの・許可した範囲は守れない
一方で、サンドボックスは万能ではありません。Claude Codeの公式ドキュメントでは、リスクを下げるものの完全な隔離ではない、と明記されています。主な注意点は次の通りです。
- 囲いの外で動くものがある：Claude Codeのサンドボックスの対象はシェルコマンドだけで、ファイルを読み書きする道具やMCPサーバー、フックなどは囲いの外で動く
- 許可した範囲は守れない：書き込みや接続先を広く許可するほど、囲いの意味は薄くなる
- 接続先の許可に注意：たとえば github.com のような広いドメインを許可すると、データを外に持ち出す道になりうると警告されている
- 囲いの外での再実行：コマンドが囲いの中で失敗すると、AIが囲いの外で実行し直したいと求めることがある。意図が分からないときは許可しない
- 起動できないとき：必要な部品が足りないなどでサンドボックスが起動できない場合、初期状態では囲いなしでコマンドが実行される
サンドボックスは、権限の設定（何を許可・禁止するか）や、作業フォルダの外への書き込みを止める設定と組み合わせて、守りを重ねて使うものと考えておきましょう。
▶ 関連記事：Claude Codeの書き込みを作業フォルダ内に制限！2.1.314の新設定と書き方
【まとめ】AIに手を動かさせるなら、まず「囲い」を用意しよう
サンドボックスは、プログラムを砂場のような囲いの中で動かし、外のファイルやネットワークに手を出させない仕組みです。Claude Codeでは「/sandbox」、Codexでは権限のメニューや「/permissions」から使えます。万能ではありませんが、AIにパソコンを操作させるなら、まずは囲いを用意して、許可する範囲はせまく保っておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年11月1日時点のものです。
