AIエージェントをVPSで24/7稼働させる。
ノートPCから離れ、眠らない金属の上へ。

自分のマシンで動くエージェントは、動作するエージェントではあってもデプロイされたエージェントではありません。そのギャップは4つの地味な問題であり、どれもプロンプトエンジニアリングとは関係ありません。

スリープ。 蓋を閉じればプロセスは一時停止します。電源管理は蓋が閉じるよりずっと前からバックグラウンド処理を絞り始めるため、この失敗の最悪の形が生まれます。動くことは動くが、遅れて、しかも予測できないタイミングで動くエージェントです。

IPの変動。 自宅やカフェの回線は、再接続のたびに新しいアドレスを割り当ててきます。IPでレート制限されているもの、安定したコールバックを必要とするWebhook、登録したallowlistは、どれも間欠的に壊れます。

再起動。 OSのアップデートは、独自のスケジュールでマシンを再起動します。エージェントがサービスマネージャーに登録されていない限り、再起動後に戻ってくるのはデスクトップ画面であって、動作中のループではありません。たいていの人は1週間後になって気づきます。

環境の移動。 旅行する、マシンを買い替える、再インストールする。シェル履歴の中にしか存在しないものは再現できません — 3月のある午後に用意しただけのエージェントには、デプロイ手順そのものが存在しないのです。

サーバーが解決するのはこの4つだけであり、それ以外は何も解決しません — 正しさでも、コストでも、安全性でもありません。サーバーが与えてくれるのは、失敗した時にそれを直すのが自分自身であるようなランタイムです。それ以上のものとして売り込んでくる相手には警戒してください。

サーバーはUbuntu 24.04 LTSかDebian 13でプロビジョニングします — どちらも注文時に選択でき、Ubuntu 22.04、Debian 12、AlmaLinux 9、Rocky Linux 9も用意されています。root権限の認証情報が渡されますが、それを手にして最初にすべきことは、それを使うのをやめることです。SSH鍵認証に馴染みがないなら、まず下のリンク先にあるハードニングガイドを読んでください。

1 — サービスユーザーを作成する。 adduser --system --group --home /srv/agent agent。エージェントはrootとして動かすべきではなく、対話的なシェルを持つべきでもありません。今この1コマンドを実行しておけば、後にエージェントが呼び出すツールが逆手に取られたとしても、被害の範囲は小さく抑えられます。

2 — コードをサーバーに配置する。 /srv/agentへgit cloneするか、サーバーにデプロイキーを残したくなければrsyncを使います。依存関係は固定してください。ロックファイルがあるかどうかで、再デプロイが再現可能になるか、思わぬ事態に驚かされるかが決まります。

3 — 環境を構築する。 python3 -m venv /srv/agent/.venvを実行し、そのvirtualenvのpipでロックファイルからインストールします。あるいはuvを導入し、インタプリタとロックファイルの両方を任せてもよいでしょう。どちらでも構いませんが、両者を混ぜるのはよくありません。

4 — 一度手動で実行する。 sudo -u agent /srv/agent/.venv/bin/python -m agent --once。この手順を飛ばしてサービスユニットに直行してはいけません。ここで起きる失敗の9割は、環境変数の欠落かノートPC相対のパスであり、そのどちらもjournaldよりターミナルで見た方がはるかに分かりやすいのです。

5 — スーパーバイザーに委ねる。 次の章で扱います。ここまでの手順は、あなたが起動しただけのスクリプトを、マシンが所有するサービスへと変えるものです。この一連の作業が15分よりも大幅に長くかかったなら、その原因はほぼ常に開発マシンへの暗黙の依存です — グローバルにインストールされたバイナリ、シェルプロファイルに書かれた認証情報、リポジトリの外にあるパスなどです。

エージェントはWebアプリケーションよりも危険な材料を抱えています。モデルAPIキーは支出を伴う手段であり、トレーディングキーはレバレッジのかかったものであり、ウォレットキーは資金そのものです。そしてWebアプリと違い、エージェントは自分が書いたわけではないテキストに基づいて行動します。これにより、エージェントがキーを持っている状態と攻撃者がそれを持っている状態の境界が薄くなります。

イメージの外に置く。 Dockerfile内のENVやARGの値はイメージレイヤーに書き込まれ、そのイメージを入手した誰もがdocker historyで読み取れます。Composeのenv_file:、あるいはsystemdユニットのEnvironmentFile=を使い、そのファイルはビルドコンテキストの外に置いてください。

リポジトリの外に置く。 .gitignoreと.dockerignoreは、50回目のコミットではなく最初のコミットの時点で用意してください。一度でもコミットされたキーは、そのコミットを書き換えたとしても漏洩したものとして扱うべきです。オブジェクトはクローンやフォークの中に生き残るからです。履歴を書き換えるのではなく、キーをローテーションしてください。

そのファイルが触れられる範囲を制限する。 環境変数ファイルの所有者をサービスユーザーにし、mode 600を設定してください。root以外のサービスユーザーと組み合わせれば、サーバー上の他の場所で依存関係が侵害されたとしても、そこからディスク上のキーを単純に読み取ることはできなくなります。

各キーの権限は発行元で絞り込む。 1エージェントにつき1キーとし、プロバイダーが提供する最も狭い権限を選んでください — 読み取りだけで済むなら読み取り専用に、取引所のキーは出金を無効化し、サーバーのIPでallowlistを設定します。固定IPは、ノートPCから離れることで得られる目立たない利点です。ようやくallowlistが実用になるのです。複数人が同じ認証情報を必要とする場合は、姉妹ガイドで扱っているセルフホスト型のvaultの裏に置いてください。

ツールを持たないエージェントは、ただのチャットループです。リポジトリを読み、データベースに問い合わせ、注文を出し、issueを立てることを可能にするのはツールであり、エージェントがサーバー上で暮らすようになったら、ツールもそこで暮らすべきです。

Model Context Protocol(MCP)は、こうしたツールを公開するための一般的な方法になりました。プライベートに運用するサーバーは、エージェントのすぐ隣に置くのが簡単です。同じマシン、同じプライベートなインターフェース、公開する必要もありません。姉妹ガイドがきちんと扱っています — リモートMCPサーバーのホスティングではTLS、streamable-HTTPトランスポート、OAuth、エージェントカードまでを扱い、身元証明不要でのホスティングという角度からは、同じスタックを身元の側面から扱っています。

まずlocalhostにバインドする。 利用者が同じマシン上のエージェントだけであるなら、ツールサーバーが公開ポートを持つ理由はありません。ループバックアドレスにバインドし、証明書は省略してください。2台目のマシンが必要になった場合にのみ公開し、その際にはTLSと認証の両方が必要です。どちらか一方では足りません。

ツールには機能する範囲で最小の権限だけを与える。 エージェントはテキストに基づいてどのツールを呼ぶかを決めますが、そのテキストの一部は外部から来ています。Webページや受信箱を読むエージェントにとって、プロンプトインジェクションは仮説的な話ではなく、想定すべき通常のケースです。読み取りしかできないツールは、書き込みをするよう言いくるめることができません。ツールがどうしても書き込みを必要とする場合は、破壊的な操作の経路には人間による確認を必須にしてください。

自分自身のエージェントではなく他人のエージェント向けにツールを作っているなら、マシン向けAPIとエージェント向けの窓口が、このプラットフォームがプロビジョニングをエージェントに直接どう公開しているかを解説しています。

エージェントとは、認証情報を持ち、固定されたアドレスから、継続的にあなたの代わりに行動する寿命の長いプロセスです。そのため、レンタル記録は静的なWebサイトの場合よりも興味深いものになります。エージェントは何か月もの間、毎時間、あなたに帰属する行動を取り続けているからです。

ここでの最低ラインは、登録時のメールアドレスとパスワード、8種類の資産での決済 — Bitcoin、Ethereum、2つのチェーン上のTether、Monero、Litecoin、TRON、Solana — であり、どの段階でも身分証明書は必要ありません。データセンターは北欧の4つの立憲体制の国にあります。ストックホルム、ヘルシンキ、オスロ、レイキャビクです。運用方針のページでは何が保持されるかを、ネットワークのページでは経路について説明しています。

ここからが、宣伝文句よりも重要な限界の話です。身元を求めないホストが取り除くのはレンタル記録です。推論層には手を触れません。あなたのエージェントは、アカウントに紐づいたキーを使い、固定IPから、呼び出しのたびにモデルプロバイダーに対して認証を行っています。そのアカウントがあなたの本名で登録されているなら — たいていの人はそうです — 誰がハードウェアを借りているかとは無関係に、身元はそこで確立されてしまいます。ホスト層が取り除くのは1つのリンクだけです。それは本物のリンクですが、たった1つです。

ここから先は地味な話です。区画化してください。1エージェント、1サーバー、1キー、1ウォレット。ハードニングは30日目ではなく1日目に行ってください。何か月も無人で稼働するマシンにとって、最初の1時間のチェックリストにかける1時間は十分に価値があります。エージェントがプライベートネットワークに到達する必要があるなら、サービスを公開するのではなく、サーバー上でトンネルを終端させてください。設定についてはトンネルのガイドで扱っています。そして、エージェントが取引に使うのとは別のウォレットから暗号資産で支払ってください。

ここに挙げたことは何も特殊ではなく、また何も保証するものでもありません。これは、あなたが眠っている間にあなたの代わりに行動するものを運用するための、ごく普通の規律にすぎません — それこそが「継続的な運用」の意味のすべてです。残りのガイド群はガイド一覧にあります。