Según un informe de MarkTechPost del 24 de octubre, sandbox-runtime, la herramienta de código abierto de Anthropic que está detrás de la ejecución de bash en sandbox de Claude Code, permite a los desarrolladores restringir los archivos y los destinos de red disponibles para un proceso sin iniciar un contenedor. La herramienta también admite otros agentes, servidores MCP locales y programas habituales de línea de comandos.
Conocido como srt, el runtime está disponible como herramienta de línea de comandos y como biblioteca de TypeScript. El informe lo describe como una vista previa de investigación en beta, con soporte para Windows en fase alfa. Según el mismo informe, el paquete npm @anthropic-ai/sandbox-runtime corresponde a la versión v0.0.81, tiene licencia Apache-2.0 y requiere Node.js 22.12+.
Las restricciones se extienden a los subprocesos
Según el informe, el runtime usa mecanismos de aislamiento del sistema operativo para aplicar reglas de sistema de archivos y de red a todo el árbol de procesos, incluidos los scripts y los subprocesos.
En macOS usa sandbox-exec con perfiles de Seatbelt generados dinámicamente y requiere ripgrep. En Linux usa bubblewrap con el espacio de nombres de red eliminado y requiere socat y ripgrep. La implementación alfa para Windows emplea una cuenta dedicada srt-sandbox, una barrera de salida con Windows Filtering Platform y ACL de archivos explícitas.
La política predeterminada del sistema de archivos permite las lecturas salvo que una ruta esté denegada explícitamente, mientras que las escrituras se bloquean salvo que estén permitidas. El acceso a la red está denegado salvo que un dominio figure en la lista de permitidos. Estos valores predeterminados hacen que la configuración tenga consecuencias: un directorio sensible necesita una restricción de lectura explícita para quedar cubierto por esa política.
Según el informe, el tráfico de red pasa por proxies HTTP y SOCKS5 del host, que aplican listas de dominios permitidos y bloqueados. En Linux, la conexión con esos proxies se realiza a través de sockets Unix montados en el sandbox mediante bind mount; el perfil de Seatbelt de macOS solo permite un puerto localhost.
El informe atribuye este enfoque combinado a la idea de Anthropic de que los controles de archivos y de red deben funcionar juntos. De lo contrario, el acceso a la red podría permitir que un agente sujeto a inyección de prompts transmitiera claves SSH, mientras que unas restricciones de archivos insuficientes podrían permitirle escapar del sandbox y obtener acceso a la red.
Menos aprobaciones, con una seguridad que depende de la configuración
Anthropic informa de que el uso de sandbox redujo un 84 % las solicitudes de permiso en su uso interno de Claude Code. Se trata de un resultado comunicado por la propia empresa, no de una prueba comparativa independiente ni de una reducción medida de incidentes de seguridad. El beneficio previsto es reducir las solicitudes de aprobación repetidas y, al mismo tiempo, permitir que un agente opere dentro de límites predefinidos.
Los desarrolladores pueden instalar el paquete con npm install -g @anthropic-ai/sandbox-runtime y anteponer srt a los comandos. En el caso de los servidores MCP, el informe describe reemplazar npx por srt en el campo de comando de .mcp.json y pasar el comando original como argumentos. Las reglas se guardan en ~/.srt-settings.json.
Según el informe, los controles de red incluyen dominios y puertos con comodines, listas de permitidos por comando, una función de callback para los destinos sin regla coincidente y cambios en las listas en tiempo real mediante --control-fd. Una comprobación de direcciones resueltas bloquea los nombres incluidos en la lista de permitidos que se resuelvan a direcciones IP de loopback o de metadatos de la nube.
El compromiso práctico está en cuánto acceso necesita una carga de trabajo. Los agentes pueden necesitar registros de paquetes, sitios de documentación y APIs para completar tareas. Las reglas demasiado restrictivas pueden interrumpir ese trabajo, mientras que los permisos amplios de dominio pueden dejar vías para la fuga de datos. El runtime ofrece controles para definir ese límite; su estado beta y el soporte alfa para Windows siguen siendo limitaciones importantes para el despliegue.
