Il sandbox-runtime open source di Anthropic, lo strumento alla base dell'esecuzione sandboxed di bash in Claude Code, permette agli sviluppatori di limitare i file e le destinazioni di rete disponibili a un processo senza avviare un container, secondo un report di MarkTechPost del 24 ottobre. Lo strumento supporta anche altri agenti, server MCP locali e normali programmi da riga di comando.
Noto come srt, il runtime è disponibile come strumento da riga di comando e come libreria TypeScript. Il report lo descrive come un'anteprima di ricerca in beta, con il supporto per Windows ancora in alpha. Identifica il pacchetto npm @anthropic-ai/sandbox-runtime alla versione v0.0.81, distribuito con licenza Apache-2.0, che richiede Node.js 22.12 o successiva.
Le restrizioni si estendono ai sottoprocessi
Il runtime utilizza meccanismi di isolamento del sistema operativo per applicare le regole su file system e rete a tutto l'albero dei processi, inclusi script e sottoprocessi, come riporta il report.
Su macOS usa sandbox-exec con profili Seatbelt generati dinamicamente e richiede ripgrep. Su Linux usa bubblewrap, senza il namespace di rete, e richiede socat e ripgrep. L'implementazione alpha per Windows usa un account dedicato srt-sandbox, una barriera di uscita tramite Windows Filtering Platform e ACL esplicite sui file.
La policy predefinita sul file system consente le letture, a meno che un percorso non sia esplicitamente negato, mentre le scritture sono bloccate, salvo quando consentite. L'accesso alla rete è negato, a meno che un dominio non sia presente nell'allowlist. Questi valori predefiniti rendono la configurazione determinante: una directory sensibile richiede una restrizione di lettura esplicita per essere coperta dalla policy.
Secondo il report, il traffico di rete passa attraverso proxy HTTP e SOCKS5 sull'host, che applicano allowlist e denylist dei domini. Su Linux i proxy sono raggiunti tramite socket Unix montati con bind-mount nel sandbox; il profilo Seatbelt di macOS consente invece una sola porta localhost.
Il report attribuisce questo approccio combinato alla convinzione di Anthropic che i controlli su file system e rete debbano funzionare insieme. Senza controlli di rete, un agente soggetto a prompt injection potrebbe trasmettere chiavi SSH; restrizioni insufficienti sul file system potrebbero invece permettergli di uscire dal sandbox e ottenere accesso alla rete.
Meno approvazioni, con una sicurezza che dipende dalla configurazione
Anthropic riferisce che il sandboxing ha ridotto del 84% le richieste di autorizzazione nell'uso interno di Claude Code. Si tratta di un dato riportato dall'azienda, non di un benchmark indipendente né di una riduzione misurata degli incidenti di sicurezza. Il beneficio previsto è ridurre le richieste di approvazione ripetute, lasciando che un agente operi entro limiti predefiniti.
Gli sviluppatori possono installare il pacchetto con npm install -g @anthropic-ai/sandbox-runtime e anteporre srt ai comandi. Per i server MCP, il report descrive la sostituzione di npx con srt nel campo command di .mcp.json e il passaggio del comando originale come argomenti. Le regole sono memorizzate in ~/.srt-settings.json.
I controlli di rete riportati includono domini e porte con caratteri jolly, allowlist per singolo comando, una callback per le destinazioni senza una regola corrispondente e modifiche in tempo reale alle liste tramite --control-fd. Un controllo sugli indirizzi risolti blocca i nomi presenti in allowlist che si risolvono in indirizzi IP di loopback o di metadati cloud.
Il compromesso pratico riguarda quanto accesso richiede un carico di lavoro. Gli agenti possono aver bisogno di registri, siti di documentazione e API per completare le attività. Regole troppo strette possono interrompere questo lavoro, mentre permessi sui domini troppo ampi possono lasciare vie aperte alla fuga di dati. Il runtime offre controlli per definire questo confine; il suo stato beta e il supporto alpha per Windows restano limiti rilevanti per l'adozione.
