企業でAIエージェントを使うとき、難しいのは賢いモデルを選ぶことだけではありません。むしろ実務で詰まりやすいのは、エージェントがコードを実行し、社内システムに接続し、秘密情報を扱う部分です。Cloudflareは2026年5月19日、AnthropicのClaude Managed AgentsとCloudflare Sandboxesを連携する新しい統合を発表しました。
1. 何が発表されたのか
今回の発表は、Claude Managed AgentsのエージェントループをAnthropic側で動かしつつ、コード実行、ツール呼び出し、外部接続などの実行環境をCloudflare側で管理できるようにする統合です。
Cloudflareの説明では、Claude Managed Agentsはファイル読み取り、コマンド実行、Web閲覧、コード実行などを扱えるエージェント環境です。これまではAnthropic提供のインフラ上でスタック全体を動かす形でしたが、企業によってはセキュリティ、コンプライアンス、性能、既存ネットワークとの接続の都合で、実行環境をより細かく制御したいケースがあります。
そこで出てくるのが、推論する部分と実行する部分を分ける設計です。Claudeが考える部分はAnthropicのプラットフォームで動かし、実際にコードを動かすサンドボックス、社内サービスへの接続、カスタムツールの実行はCloudflareの環境で扱う、という分担です。
2. なぜ推論ループと実行環境を分けるのか
AIエージェントは、チャットボットよりも影響範囲が広くなります。回答するだけでなく、ファイルを作り、コマンドを実行し、ブラウザを操作し、APIを呼び出すからです。
このとき、推論ループと実行環境が密結合していると、障害対応も権限管理も難しくなります。実務的な意味は、AIに何を考えさせるかと、AIにどこで何を実行させるかを別々に管理できることです。
たとえば、あるエージェントが社内データにアクセスする必要があるとしても、モデル本体や生成コードに直接シークレットを渡す必要はありません。実行環境、プロキシ、認証、接続先の制御を別レイヤーで設計できます。
企業のAIエージェント導入では、モデルの能力よりも「実行の手元」をどう管理するかで事故の起きやすさが変わります。
3. 企業導入で見るべきチェックポイント
今回のCloudflare統合で企業が注目すべき点は、AIエージェントの安全性を一言で済ませていないところです。見るべき項目は、少なくとも次のように分かれます。
- サンドボックス: エージェントが生成したコードを、どの隔離環境で実行するのか
- プロキシ: 外部サービスや社内APIへの通信を、どこで制御するのか
- 秘密情報注入: APIキーやOAuthトークンを、エージェント自身に見せずに使わせられるか
- プライベート接続: 社内ネットワークやVPC内のサービスを、インターネットに公開せず接続できるか
- 監査ログ: ブラウザ操作、ツール実行、サンドボックスの挙動を後から追えるか
Cloudflareは、カスタマイズ可能なアウトバウンドプロキシを使い、サンドボックス外で資格情報を注入できると説明しています。これは、プロンプトインジェクションなどでエージェントが秘密情報を読み出そうとするリスクを下げる設計です。
ただし、これは万能の安全策ではありません。許可する接続先、ツールの権限、テナントごとの分離、ログの保存範囲、人間の承認フローをどう設計するかは、導入側の責任として残ります。
4. MCPやカスタムツール導入にも関係する
この発表は、MCPや社内ツール連携を進める企業にも関係があります。AIエージェントが便利になるほど、どのツールを呼べるのか、そのツールはどの資格情報で動くのか、失敗したときに誰が追跡できるのかが重要になります。
Cloudflare側の発表では、外部サービスやプライベートサービスへの接続を、アウトバウンドプロキシやCloudflare Mesh、Workers VPCなどで制御する流れが説明されています。ブラウザ操作についても、Browser Runのセッション記録や許可リスト、拒否リスト、将来のデバッグに使える記録が重要な機能として紹介されています。
企業がMCPサーバーやエージェント向けツールを増やすなら、単に接続できたで終わらせないほうがよいです。実務では、次の問いがそのまま導入チェックになります。
このツールは誰の権限で動くのか。エージェントはシークレットを読めるのか。通信先は制限できるのか。操作ログは残るのか。ブラウザやCLIの操作を後から再現できるのか。
AIエージェントの導入は、モデル選定よりも運用設計で差が出ます。今回のCloudflareとAnthropicの取り組みは、賢いエージェントを作る話というより、企業がエージェントに実行権限を持たせるとき、その実行環境をどう管理するかという話として見るのがよさそうです。
