この記事は、週末のプレビューアクセスをもとに Claude Code for web をレビューしているが、その論点は実のところ製品そのものではない。ツール自体に対する著者の評価は控えめである。生成されるプルリクエストはローカルの CLI のものと見分けがつかないと著者は言い、同じプロンプトならラップトップ上でもおそらく同じ結果が得られるだろうとし、価値は能力ではなく利便性にあるとしている。
記事が重要だとみなしているのは、ローンチがどのような文脈で提示されたかである。記事は、製品の発表がサンドボックス化に関する Anthropic のエンジニアリング記事の半ばに埋もれていたことを指摘し、その配置こそが本当のニュースだと読み取っている。すなわち、Anthropic が、アクションごとの承認ではなく、ファイルシステムとネットワークの分離を、高性能なエージェントを安全に実行するための方法として扱っていることの証拠である。
要点
- 著者の読みは、文書化された事実ではなく推測として示されたものだが、ホスト型の製品はコンテナで包まれ、パーミッションの確認をスキップするよう設定された Claude Code の CLI だというものである。著者は、ローカルのツールとまったく同じように振る舞うように見えると報告している。
- これは OpenAI の Codex Cloud や Google の Jules に対する Anthropic の対抗製品として位置づけられており、形はよく似ている。
- 著者自身の例は、本人がごく単純だと呼ぶタスク（クエリ文字列を取り除くツール）、README の修正、そしてチャートを伴う 4 つのシナリオからなる Python のテンプレートエンジンのベンチマークにわたる。最後のものはスマートフォンからプロンプトを送っている。
- ファイルシステムのサンドボックス化は比較的容易で、ネットワーク分離のほうが難しい問題だと特徴づけられている。記事は、インターネットアクセスを Unix ドメインソケット経由でサンドボックス外のプロキシに通し、そのプロキシがドメイン制限を強制し、新たに要求されたドメインの確認を処理するという Anthropic の説明を引用している。
- ネットワーク分離は、プロンプトインジェクション と 致命的な三要素 の攻撃の両方に対して決定的に重要なものとして提示されている。最良の防御は 3 つの要素のうち 1 つを断つことであり、分離によってデータ持ち出しの要素が取り除かれる、という理屈である。
- 著者は中間の設定に不安を抱いている。「Trusted network access」環境のデフォルトの許可リストは数十の項目に及んでおり、意図しないデータ持ち出しの経路が開いたままになっているのではないかと疑っている。
- 記事はサンドボックス化を、ステップごとの承認なしに動くエージェントは、承認を必要とするエージェントよりはるかに価値が高く生産的であることを認めたものと位置づけ、便利で安全な実行こそが解決すべき本当の問題だとしている。
- 著者は、この種のサンドボックス化が、自分にとって信頼に足ると感じられる唯一のエージェント安全性へのアプローチだと述べている。
補足
記事の報告によれば、Anthropic はサンドボックス化の実装を収めたオープンソース（Apache 2）のライブラリを公開しており、その基盤となる仕組みは macOS では seatbelt、Linux では Bubblewrap であるように見える。後者は文書化された主張ではなく著者の読みとして示されたもので、著者はまだ詳細を調べていないと記している。
記事に追記された更新では、この種の作業にかかるコストの見積もりを控えている。著者が Anthropic からテスト用に提供されたプランを使っていたためであり、非公式のツールで測定した自身のローカル CLI の利用について、1 日あたりの大まかな数字を報告するにとどめている。