导语：Anthropic 将 Claude Code 底层的沙箱机制开源，发布 Sandbox Runtime（srt）。
摘要
Anthropic 将 Claude Code 底层的沙箱机制开源，发布 Sandbox Runtime（srt）。这是一个轻量级沙箱工具，在操作系统层面（无需容器）对任意进程强制实施文件系统与网络访问限制。它在 macOS 上调用 sandbox-exec（Seatbelt），在 Linux 上借助 bubblewrap 创建带网络命名空间隔离的沙箱，在 Windows 上以专用本地账户配合 Windows Filtering Platform 限制出站连接。默认策略为安全优先：默认禁止一切网络访问、默认禁止写操作、读取则默认放开。srt 可用于隔离智能体、本地 MCP 服务器、bash 命令及任意进程，以 Beta Research Preview 形式提供，对应 npm 包 @anthropic-ai/sandbox-runtime。
正文（译文）
概述 Anthropic Sandbox Runtime（srt）是一个轻量级沙箱工具，能在操作系统层面对任意进程强制实施文件系统与网络限制，且不需要容器。srt 使用原生操作系统沙箱原语（macOS 上的 sandbox-exec、Linux 上的 bubblewrap）以及基于代理的网络过滤。它可以用来沙箱化智能体、本地 MCP 服务器、bash 命令和任意进程的行为。
Beta Research PreviewSandbox Runtime 是为 Claude Code 开发的早期开放源码研究预览，目的是让 AI 智能体更安全。它以早期开源预览的形式对外提供，帮助更广泛的生态构建更安全的智能体系统。由于这是早期研究预览，API 与配置格式可能演进。我们欢迎反馈与贡献，让 AI 智能体默认就更安全。
核心能力
工作原理沙箱使用操作系统级原语来实施对整个进程树生效的限制：
双隔离模型文件系统隔离与网络隔离对有效沙箱都不可或缺。没有文件隔离，被攻陷的进程可能外泄 SSH 密钥等敏感文件；没有网络隔离，进程可能逃出沙箱获得无限制网络访问。
文件系统隔离实施读与写限制：
网络隔离（仅允许模式）：默认拒绝一切网络访问，你必须显式允许域名。空 allowedDomains 列表意味着无网络访问。网络流量经主机上运行的代理服务器路由。
默认策略无 ~/.srt-settings.json 文件时，srt 以内置默认运行：无网络访问、默认写路径之外不可写、读取不受限。
（文章为作者独立观点，不代表艾瑞网立场）
