AWSがPizza Botをオープンソース化、長時間実行されるエージェント作業を再開可能な非同期インボックスに

AWSのオープンソースチームは9月10日、リアルタイムチャットの代わりに「インボックス」を中核インターフェースとする、長時間実行型エージェントアプリケーション「Pizza Bot」を公開した。完了した作業は「Unread」に、実行前に人間の判断を必要とする項目は「Action」に入る。タスクはユーザー、cronスケジュール、またはシークレットで保護されたwebhookから開始できる。プロジェクトはApache 2.0ライセンスで提供され、Electron、ブラウザ、CLI、スタンドアロンバックエンドという利用経路が用意されている。

重要なのは、単なる新しいチャットフロントエンドではなく、実行ライフサイクルをサーバー側に置いた点だ。Electron、Web、CLIはいずれもHTTP／SSE経由でAPI serverに接続する。バックエンドではDeepAgentsとLangGraphを使ってステートフルなエージェントを実行し、会話、ツールのアクティビティ、メモリ、添付ファイル、承認待ちによる一時停止をSQLiteまたは通常のファイルに保存する。クライアントを閉じたり再接続したりしても、バックエンドの処理は終了しない。ただし、デスクトップアプリから起動したサーバーを停止すると、実行中の単一ステップは中断される一方、それ以前のcheckpointとthreadは保持できる。

拡張レイヤーにはMCPと`SKILL.md`が採用されている。各skillは、独立したプロンプトと絞り込まれたツール一覧を持つ専門workerとして動作できる。さらに`interruptOn`で承認が必要なツール呼び出しを指定でき、ユーザーは承認、変更、拒否のいずれかを選べる。モデルにはBedrock、Anthropic、Gemini、OpenAI、OpenRouter、またはローカルのOllamaを選択でき、アプリケーションが単一の推論プロバイダーに固定されることを避けている。

デフォルトのセキュリティ境界は具体的に定められている。APIは`127.0.0.1`にのみbindされ、loopback以外に変更する場合は、32文字以上のbearer tokenとorigin allowlistを設定しなければならない。ホームディレクトリが自動的に許可されることはなく、マウントしたフォルダーはデフォルトで読み取り専用となる。組み込みのJavaScript sandboxからは、ネットワークにもホストのファイルシステムにもアクセスできない。デスクトップ版では認証情報をElectronの`safeStorage`に預けるが、Linux環境に互換性のあるシークレットストレージサービスがない場合、実質的に平文とほぼ変わらない`basic_text`へフォールバックする可能性がある。

最大のリスクは拡張機能にある。MCP serverとpluginは引き続きユーザー権限で実行され、Pizza Botはこれらを信頼済みプログラムとして扱うことを明示している。また、SQLiteのデータルートが対応するのは単一のバックエンドプロセスのみで、複数のコンテナレプリカから直接マウントして利用する構成には適さない。現時点では公開されている採用実績が少なく、コミュニティープロジェクトであるためAWS SLAも提供されない。エンジニアリングチームは、checkpointからの復元における一貫性、スケジュールされた実行を逃した場合のセマンティクス、そしてツール承認機構が悪意あるコンテンツやprompt injectionに耐えられるかを検証すべきだ。