Anthropic 开源 sandbox-runtime：不依赖容器，用操作系统原语隔离 AI 智能体
Anthropic 开源 sandbox-runtime（srt），通过 macOS Seatbelt、Linux bubblewrap 等操作系统原语，为任意进程提供文件系统与网络隔离，无需容器。官方称内部使用中 Claude Code 权限提示减少 84%，但项目仍为 beta 研究预览，Windows 支持处于 alpha 阶段。
核心事实
据 MarkTechPost 报道，Anthropic 已开源 sandbox-runtime（命令行工具名 srt），即 Claude Code 沙箱化 bash 工具背后的操作系统级沙箱。它不启动容器，而是调用各平台自带的隔离机制：macOS 使用 sandbox-exec 动态生成 Seatbelt 配置，Linux 使用移除网络命名空间的 bubblewrap，Windows 则处于 alpha 阶段，依赖专用账户、Windows Filtering Platform 出网限制与文件 ACL。该工具以 npm 包 @anthropic-ai/sandbox-runtime 发布，采用 Apache-2.0 许可，要求 Node.js 22.12 以上，既可作 CLI 使用，也可作为 TypeScript 库调用。
背景与影响
Anthropic 团队认为文件系统与网络两道边界缺一不可：只有网络隔离，被提示注入的智能体仍可能读取并外泄本地密钥；只有文件隔离，智能体则可能逃逸后重新获得网络访问。因此 srt 默认允许读取、默认拒绝写入，网络默认全部拒绝，仅放行域名白名单，流量须经宿主机上的 HTTP 与 SOCKS5 代理。该工具并不绑定 Claude Code，本地 MCP 服务器和自研智能体同样可以套用。Anthropic 称在其内部 Claude Code 使用中，沙箱使权限提示减少 84%，但这是自报数据，并非第三方基准测试。
限制与来源
该项目目前仍为 beta 研究预览，Windows 支持为 alpha。白名单宽严是实际安全效果的关键：过严会导致依赖安装失败，过宽则防护有限。功能、平台支持与许可条款请以官方仓库和官网当前信息为准。本文信息来自 MarkTechPost 报道，相关性能数字尚未获独立验证。