摘要

Anthropic 将 Claude Code 底层的沙箱机制开源，发布 Sandbox Runtime（srt）。这是一个轻量级沙箱工具，在操作系统层面（无需容器）对任意进程强制实施文件系统与网络访问限制。它在 macOS 上调用 sandbox-exec（Seatbelt），在 Linux 上借助 bubblewrap 创建带网络命名空间隔离的沙箱，在 Windows 上以专用本地账户配合 Windows Filtering Platform 限制出站连接。默认策略为安全优先：默认禁止一切网络访问、默认禁止写操作、读取则默认放开。srt 可用于隔离智能体、本地 MCP 服务器、bash 命令及任意进程，以 Beta Research Preview 形式提供，对应 npm 包 @anthropic-ai/sandbox-runtime。

正文（译文）

概述 Anthropic Sandbox Runtime（srt）是一个轻量级沙箱工具，能在操作系统层面对任意进程强制实施文件系统与网络限制，且不需要容器。srt 使用原生操作系统沙箱原语（macOS 上的 sandbox-exec、Linux 上的 bubblewrap）以及基于代理的网络过滤。它可以用来沙箱化智能体、本地 MCP 服务器、bash 命令和任意进程的行为。

Beta Research Preview Sandbox Runtime 是为 Claude Code 开发的早期开放源码研究预览，目的是让 AI 智能体更安全。它以早期开源预览的形式对外提供，帮助更广泛的生态构建更安全的智能体系统。由于这是早期研究预览，API 与配置格式可能演进。我们欢迎反馈与贡献，让 AI 智能体默认就更安全。

核心能力

• 网络限制：控制可通过 HTTP/HTTPS 及其他协议访问哪些主机/域名

• 文件系统限制：控制哪些文件/目录可读/写

• Unix 套接字限制：控制对本地 IPC 套接字的访问

• 违规监测：在 macOS 上接入系统的沙箱违规日志存储，实现实时告警

工作原理 沙箱使用操作系统级原语来实施对整个进程树生效的限制：

• macOS：使用 sandbox-exec 配合动态生成的 Seatbelt 配置文件

• Linux：使用 bubblewrap 实现带网络命名空间隔离的容器化

• Windows：在专用的 srt-sandbox 本地账户下运行沙箱进程，配合基于该账户 SID 的 Windows Filtering Platform 出站围栏、写受限令牌，以及对工作树显式设置的 ACE

双隔离模型 文件系统隔离与网络隔离对有效沙箱都不可或缺。没有文件隔离，被攻陷的进程可能外泄 SSH 密钥等敏感文件；没有网络隔离，进程可能逃出沙箱获得无限制网络访问。

文件系统隔离实施读与写限制：

• 读（先拒绝后允许）：默认允许全局读取。你可拒绝 broad regions（如 /Users）再在其中重新允许特定路径。allowRead 优先于 denyRead。

• 写（仅允许）：默认全局拒绝写入。你必须显式允许路径（如 .、/tmp）。空允许列表意味着无写权限。

网络隔离（仅允许模式）：默认拒绝一切网络访问，你必须显式允许域名。空 allowedDomains 列表意味着无网络访问。网络流量经主机上运行的代理服务器路由。

默认策略 无 ~/.srt-settings.json 文件时，srt 以内置默认运行：无网络访问、默认写路径之外不可写、读取不受限。