你让 AI 帮忙改一份项目文件，它却顺手读到了 SSH 密钥；你让它运行安装命令，命令又悄悄连向了不该访问的网站。编码 Agent 能直接操作电脑后，问题不再只是“答案对不对”，还包括“它到底能碰什么”。Anthropic 开源的 Sandbox Runtime，正是给这些本机进程划活动范围：无需启动完整容器，也能限制文件读写和网络访问。
需要先说明，现有信息全部来自 Anthropic 官方 GitHub 仓库，尚无第三方安全审计或独立实测。它目前只是 Beta Research Preview，不能视为已经证明安全的成熟方案。
从反复批准，变成先划边界
Claude Code 最初采用逐次确认：读取通常放行，但写文件、运行命令和联网要询问用户。据 Anthropic 披露，产品上线几周后便出现“批准疲劳”——提示太多，人容易机械地点下同意。
团队于是换了思路。与其每走一步都敲门，不如先划出一个院子，让 Agent 在院内自由行动。Anthropic 称，内部使用操作系统级沙箱后，权限弹窗减少了 84%。这套为 Claude Code 开发的运行时，如今以 @anthropic-ai/sandbox-runtime 软件包开源，命令行名称是 srt。
“进程沙箱”就是给程序圈定活动范围。Sandbox Runtime 既能作为命令行工具使用，也能嵌入其他程序，可用于隔离 AI Agent、本地 MCP server、bash 命令和任意进程。MCP server 是连接 AI 与本机工具、数据源的服务；它能力很强，也因此需要明确权限边界。
不装进容器，直接借操作系统的锁
容器是把应用及其依赖装进隔离环境的常用技术，Docker 是最常见的代表。Sandbox Runtime 不要求启动完整容器，而是调用操作系统已有的隔离机制：macOS 使用 sandbox-exec，Linux 使用 bubblewrap——一种建立轻量隔离环境、限制进程所见文件和资源的工具。材料还列出了 Windows 实现：以专用本地账户、受限令牌和网络过滤规则约束进程。
这些限制会覆盖被执行进程及其创建的整个进程树。否则，一个受限命令只要再启动子进程，就可能绕开边界。
文件权限分为读和写。读取默认较宽松，但可以先封锁大片目录，再单独放行需要的位置；写入则默认全部拒绝，只开放明确列出的路径。它还能限制本地 Unix socket——程序之间在同一台机器上通信的一种通道。
网络采用“只准名单内地址通过”的方式。HTTP、HTTPS 和其他 TCP 流量会先经过宿主机上的代理，再按域名允许列表或拒绝列表过滤。官方演示中，srt 允许访问 anthropic.com，阻止访问名单之外的 example.com；它也允许读取当前目录的 README，却拒绝读取 ~/.ssh/id_rsa。这些只是项目方演示，不是独立安全验证。
为什么它可能成为 Agent 的基础层
它解决的是一个越来越具体的问题：Agent 要真正完成工作，就得获得运行命令、改文件和联网的能力；但权限全开，误删文件或泄露敏感数据的风险也随之出现。Sandbox Runtime 把“允许 AI 执行命令”和“允许它接触整台电脑”拆成了两件事。
它的价值不在于承诺绝对安全，而在于提供一层可复用的权限边界。开发者可以把原本直接启动的 MCP server 改为经 srt 启动，再用配置文件规定哪些目录能写、哪些域名能连。对 Agent 生态来说，这是一块靠近执行端的基础设施：模型负责决定做什么，沙箱负责限定它最多能做到哪里。
局限与未知
- 项目仍处于早期研究预览，API 和配置格式可能变化。
- “无需容器”不代表它与成熟容器方案拥有相同的隔离强度、跨平台能力或安全边界；不同系统的底层实现也不相同。
- 目前没有第三方审计、逃逸测试或大规模部署数据。官方示例只能说明预期行为，不能证明它能挡住所有恶意进程与绕过手段。