产品简介
sandbox-runtime 是 Anthropic 开源的进程沙箱，仓库在 anthropics/sandbox-runtime，npm 包为 @anthropic-ai/sandbox-runtime，命令行工具叫 srt。它做的事说出来很朴素：不启动容器，直接用操作系统自带的隔离机制，把任意进程的文件访问与网络访问收进一个白名单里。Claude Code 里那个跑 bash 命令的沙箱，底层就是它。
设计上走的是 secure by default。文件读默认放开，可以按路径拒绝；写默认只允许当前工作目录，其余要显式加白。网络默认全部断开，所有流量必须走宿主机上的代理，HTTP 与 HTTPS 走 HTTP 代理、其他 TCP 走 SOCKS5 代理，域名白名单与黑名单在这一层生效。Linux 用 bubblewrap 加网络命名空间隔离，macOS 用 sandbox-exec 动态生成 Seatbelt 配置，Windows 是 alpha 阶段，用专用本地账户加 Windows Filtering Platform 做出口过滤。
2026 年 10 月 24 日，MarkTechPost 报道其 npm 包更新到 v0.0.81 并以 Apache-2.0 开放，这让它从 Claude Code 的内部组件变成可以独立使用的工具。除了包 bash 命令，它更实际的用法是包住本地 MCP server：把 .mcp.json 里的启动命令前面加上 srt，那个 server 就只能在设定的目录与域名里活动。官方把它标为 Beta Research Preview，接口与配置格式仍可能调整。
核心功能
- OS 级隔离，无需容器：直接用操作系统原生的沙箱原语，不引入 Docker 或虚拟机。启动开销接近零，限制作用在整个进程树上，子进程同样受约束。
- 文件读写白名单：读默认允许，可以拒绝整片区域再单独放行其中的路径，例如拒掉家目录但允许当前项目；写默认只允许当前工作目录，其余路径显式加白，也可以在已允许的路径里再拒掉某个文件。
- 网络全断，代理放行：默认切断所有网络，Linux 下直接移除网络命名空间，流量必须经过宿主机代理。HTTP 与 HTTPS 走 HTTP 代理，其他 TCP 走 SOCKS5 代理，域名白名单与黑名单统一在代理层判定。
- 拿它包住 MCP server：在 .mcp.json 里把启动命令前置为 srt，就能限制本地 MCP server 能读写的目录与能访问的域名。对第三方 server 不做代码审计也有一层兜底。
- Unix socket 与违规监控：可以限制进程访问本地 IPC socket，避免借 docker.sock 这类通道跳出边界。macOS 上还能接入系统的沙箱违规日志，实时拿到越界告警。
- CLI 与库两种用法：命令行用 srt 包任意命令，配置文件默认读取 ~/.srt-settings.json，也可以指定路径。做集成时引入 SandboxManager，初始化后把命令包一层再 spawn，退出时清理代理进程。
适合谁用
以下类型的用户会特别受益于 Anthropic sandbox-runtime：
- 让编码智能体在仓库里自由跑命令，同时把家目录里的密钥与凭证挡在读取范围之外。
- 给第三方本地 MCP server 加一层边界，限制它能碰的目录与能连的域名。
- CI 里跑不受信任的脚本或依赖安装，用网络白名单只放行包源与内部服务。
- 把 srt 当成轻量替代品，在起不了容器的开发机上做进程隔离。
- 安全评审时复现可疑命令，限定它只能写临时目录、只能连一个域名。
- 在 macOS 上接违规日志，观察某类智能体行为到底想碰哪些路径。
优点亮点
- 不依赖容器，启动快，开发机与 CI 上都能直接跑。
- 文件与网络两套隔离同时生效，配置写成一份 JSON 就能复用。
- 网络默认全断、只放行白名单，这一条对智能体场景最实用。
- 既能当命令行工具包命令，也能作为库嵌进自己的 Agent 运行时。
- 在 .mcp.json 里加一个前缀就能给本地 MCP server 套上边界。
- Apache-2.0 许可，代码可读可改，边界逻辑能自己核。
价格与方案
sandbox-runtime 以 Apache-2.0 许可开源，软件本身不收费，npm 安装方式为 npm install -g @anthropic-ai/sandbox-runtime。运行它只消耗本机资源；若配合 Claude Code 或 Anthropic API 使用，模型调用按各自订阅与用量单独计费。项目当前标记为 Beta Research Preview，接口与配置格式可能变动，生产接入前建议锁定版本号。
总结与建议
sandbox-runtime 把智能体安全里最实际的一层单独抽了出来：不是靠提示词约束模型别乱来，而是在操作系统这一层把能读的目录、能连的域名写死。不需要容器，一条命令就能套上，还能顺手把本地 MCP server 一起关进笼子。对跑编码智能体的团队来说，这是把权限弹窗换成结构性限制的一条路径。它仍是研究预览版，配置格式会变，接入时锁版本、按最小权限写白名单，这两件事比功能清单更重要。
版本演进
- Anthropic 开源 sandbox-runtime，npm 包 v0.0.81 以 Apache-2.0 发布 （2026-10-24）：Anthropic 的 sandbox-runtime（srt）以 Apache-2.0 许可开放，npm 包 @anthropic-ai/sandbox-runtime 更新至 v0.0.81。它是 Claude Code 沙箱 bash 工具背后的操作系统级沙箱，用 macOS Seatbelt 与 Linux bubblewrap 等原生隔离机制限制任意进程的文件与网络访问，无需容器；网络默认全断，流量须经宿主机 HTTP 与 SOCKS5 代理并接受域名白名单过滤，Windows 侧以专用本地账户加过滤平台实现 alpha 支持。项目仍标记为 Beta Research Preview。