「コードを社外に出さない」を既定にする──IBM Bobが、エージェント開発一式をオンプレ・エアギャップの壁の内側へ引き入れた

社外に出せないコードに、エージェントを連れて行く

IBMは2026年10月1日、エージェント型のソフトウェア開発基盤「IBM Bob」を、企業が自ら管理する環境の内側で動かせる「セルフホスト型」として提供すると発表しました。対応するのはオンプレミス、プライベートクラウド、ソブリンクラウド、そして外部ネットワークから切り離したエアギャップ環境までです。狙いははっきりしています。ソースコードや規制対象データを第三者のAIクラウドへ送ることをためらってきた銀行・政府・規制産業に対し、コードを自社に置いたままAI開発を回す選択肢を差し出す、というものです。

Bob自体は2025年に登場した多エージェント構成の開発基盤で、コード生成だけにとどまりません。変更の計画・実装・テスト・デプロイに加え、JavaやIBM i／IBM Z上に積み上がったレガシー資産の刷新まで、開発工程(SDLC)全体をエージェントに割り振って進めます。今回の発表は、その一式を「自社の壁の内側」で完結できるようにした点が新しいところです。

どこで動かし、どのモデルを使うのか

配置の仕方によって、使えるモデルの顔ぶれが分かれます。公開情報を整理すると次のようになります。

ハイブリッド構成では「ワークロード単位」で経路を切り替えられます。機微なコードは手元で動くモデルに任せ、制約の緩い作業は承認済みの外部サービスへ回す、という振り分けです。開発者には一貫したBobの操作感を保ちつつ、その下で動くアーキテクチャはセキュリティ部門が握る、という分担が想定されています。

規制産業の「作るか・買うか」を動かす

この発表が刺さるのは、これまでAIコーディングの導入をためらってきた層です。多くのAI開発ツールは、コードや文脈を外部サービスへ送ることを前提にしてきました。自社の知的財産や顧客データを外に出せない企業にとって、それは最初から検討の土俵に乗らない選択肢でした。

IBMの調査では、経営層の68%が「地域ごとに異なるデータの所在地(データレジデンシー)と主権の要件を満たすのが難しい」と答えたとされます。セルフホスト型は、この「出せない」を正面から外しにいく一手です。AI・自動化担当ゼネラルマネージャーのNeel Sundaresan氏は「組織が必要としているのは、自分たちが統制できる環境の内側で動くAIだ。とくに機微なコードや規制データを扱う場合はなおさらだ」と述べています。

コーディングエージェントの導入が「外部SaaSを買う」一択ではなく、「統制下に置いて内製的に運用する」形まで広がることは、規制産業のDXにとって現実的な選択肢が一つ増えることを意味します。

導入前に見ておきたい前提

ただし、セルフホストは「置けば動く」ものではありません。報道で指摘されている前提を押さえておく必要があります。

• セルフホストで使うモデルは、利用企業が自ら調達・ライセンス取得・ホスティングする必要がある。モデルの運用責任が自社側に移る。
• 価格は公開されておらず、IBMは個別のデモ・問い合わせへ誘導している。コスト構造は事前に見積もりにくい。
• 複数モデルのルーティングなど一部は「ロードマップ上の計画」として語られており、現時点で出荷済みの機能と計画中の機能は切り分けて評価したほうがよい。

利便性の裏にある論点

「壁の内側で動く」ことは、セキュリティ上の安心材料であると同時に、責任の所在を企業側へ寄せる面もあります。外部クラウドに任せていたモデルの運用・更新・監視を自前で背負うことになり、エアギャップ環境であってもエージェントが生成・実行するコードのレビューや権限管理は依然として残ります。「コードが外に出ない」ことと「エージェントが安全に振る舞う」ことは別の問題であり、後者への備えが不要になるわけではない点は、冷静に見ておきたいところです。導入にあたっては、売り文句の主権性だけでなく、自社がどこまで運用を引き受けられるかを照らし合わせる姿勢が要ります。

参照: IBM Newsroom ／ InfoWorld ／ SiliconANGLE ／ MarkTechPost