Anthropics Open-Source-Werkzeug sandbox-runtime, das hinter der sandboxten Bash-Ausführung von Claude Code steht, ermöglicht es Entwicklern, die Dateien und Netzwerkziele einzuschränken, die einem Prozess zur Verfügung stehen, ohne dafür einen Container starten zu müssen. Das geht laut einem MarkTechPost-Bericht vom 24. Oktober hervor. Das Werkzeug unterstützt außerdem weitere Agenten, lokale MCP-Server und gewöhnliche Kommandozeilenprogramme.
Die Laufzeit mit dem Namen srt ist als Kommandozeilenwerkzeug und als TypeScript-Bibliothek verfügbar. Der Bericht beschreibt sie als Beta-Forschungsvorschau, die Unterstützung für Windows befindet sich im Alpha-Stadium. Als Paket wird @anthropic-ai/sandbox-runtime in der npm-Version v0.0.81 genannt. Es ist unter Apache-2.0 lizenziert und setzt Node.js 22.12+ voraus.
Einschränkungen gelten auch für Subprozesse
Die Laufzeit nutzt Isolationsmechanismen des Betriebssystems, um Dateisystem- und Netzwerkregeln auf den gesamten Prozessbaum anzuwenden, einschließlich Skripten und Subprozessen, so der Bericht.
Unter macOS nutzt sie sandbox-exec mit dynamisch erzeugten Seatbelt-Profilen und benötigt ripgrep. Unter Linux verwendet sie bubblewrap bei entferntem Netzwerk-Namespace und benötigt socat und ripgrep. Die Alpha-Implementierung für Windows arbeitet mit einem eigenen Konto srt-sandbox, einer Egress-Sperre über die Windows Filtering Platform und expliziten Datei-ACLs.
Die standardmäßige Dateisystemrichtlinie erlaubt Lesezugriffe, sofern ein Pfad nicht ausdrücklich verboten ist. Schreibzugriffe dagegen sind blockiert, solange sie nicht erlaubt werden. Netzwerkzugriffe sind verweigert, sofern eine Domain nicht auf der Allowlist steht. Diese Standardeinstellungen machen die Konfiguration entscheidend: Ein sensibles Verzeichnis braucht eine ausdrückliche Leseeinschränkung, um von dieser Richtlinie erfasst zu werden.
Laut Bericht läuft der Netzwerkverkehr über HTTP- und SOCKS5-Proxys auf dem Host, die Domain-Allowlists und -Denylists durchsetzen. Unter Linux verbinden sich diese Proxys über Unix-Sockets, die in die Sandbox eingebunden werden. Das Seatbelt-Profil unter macOS erlaubt nur einen einzigen Localhost-Port.
Den kombinierten Ansatz führt der Bericht auf Anthropics Auffassung zurück, dass Dateisystem- und Netzwerkkontrollen zusammenarbeiten müssen. Ein Netzwerkzugriff könnte es einem durch Prompt Injection manipulierten Agenten sonst ermöglichen, SSH-Schlüssel zu übertragen. Unzureichende Dateisystembeschränkungen könnten ihm wiederum erlauben, die Sandbox zu verlassen und Netzwerkzugriff zu erlangen.
Weniger Freigaben, aber Sicherheit abhängig von der Konfiguration
Anthropic gibt an, dass Sandboxing bei der internen Nutzung von Claude Code die Berechtigungsabfragen um 84 Prozent reduziert habe. Dabei handelt es sich um eine Angabe des Unternehmens, nicht um einen unabhängigen Benchmark oder eine gemessene Verringerung von Sicherheitsvorfällen. Der beabsichtigte Nutzen besteht darin, wiederholte Freigabeanfragen zu verringern und dem Agenten zu erlauben, innerhalb vordefinierter Grenzen zu arbeiten.
Entwickler können das Paket mit npm install -g @anthropic-ai/sandbox-runtime installieren und Befehle mit srt voranstellen. Für MCP-Server beschreibt der Bericht, im Feld „command“ von .mcp.json npx durch srt zu ersetzen und den ursprünglichen Befehl als Argumente zu übergeben. Regeln werden in ~/.srt-settings.json gespeichert.
Die berichteten Netzwerkkontrollen umfassen Wildcard-Domains und -Ports, Allowlists pro Befehl, einen Callback für Ziele ohne passende Regel sowie Live-Änderungen an den Listen über --control-fd. Eine Prüfung der aufgelösten Adressen blockiert auf der Allowlist stehende Namen, die auf Loopback- oder Cloud-Metadaten-IP-Adressen auflösen.
Der praktische Zielkonflikt liegt darin, wie viel Zugriff eine Arbeitslast benötigt. Agenten benötigen unter Umständen Paket-Registries, Dokumentationsseiten und APIs, um Aufgaben abzuschließen. Enge Regeln können diese Arbeit unterbrechen, während breite Domain-Berechtigungen Wege für Datenabfluss offenlassen können. Die Laufzeit bietet Steuerungen, um diese Grenze festzulegen. Ihr Beta-Status und die Alpha-Unterstützung für Windows bleiben jedoch wesentliche Einschränkungen beim Einsatz.
